Katalog podatności CVE

Wtyczka CMS Commander dla WordPressa jest podatna na atak typu SQL Injection poprzez parametry 'or_blogname', 'or_blogdescription' i 'or_admin_email' we wszystkich wersjach do 2.288 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametrów dostarczanych przez użytkownika oraz braku odpowiedniego przygotowania istniejących zapytań SQL w procesie przywracania.

Wtyczka Vagaro Booking Widget dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting poprzez parametr 'vagaro_code' we wszystkich wersjach do i włącznie z 0.3, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka Linksy Search and Replace dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'linksy_search_and_replace_item_details' we wszystkich wersjach do 1.0.4 włącznie. Umożliwia to uwierzytelnionym atakującym, posiadającym dostęp na poziomie subskrybenta lub wyższym, aktualizację dowolnej tabeli bazy danych.

Wtyczka Quentn WP dla WordPressa jest podatna na atak SQL Injection poprzez ciasteczko 'qntn_wp_access' we wszystkich wersjach do 1.2.12 włącznie. Problem wynika z niewystarczającego zabezpieczenia parametru dostarczonego przez użytkownika oraz braku odpowiedniego przygotowania istniejącego zapytania SQL w metodzie `get_user_access()`.

Wtyczka SurveyJS dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) we wszystkich wersjach do 2.5.3 włącznie, poprzez przesyłanie wyników ankiety. Problem wynika z niewystarczającej sanitizacji danych wejściowych oraz ucieczki danych wyjściowych.

Wtyczka myLinksDump dla WordPressa jest podatna na atak typu SQL Injection poprzez parametry 'sort_by' i 'sort_order' we wszystkich wersjach do 1.6 włącznie, z powodu niewystarczającego zabezpieczenia dostarczonych przez użytkownika parametrów oraz braku odpowiedniego przygotowania istniejącego zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie administratora i wyżej dodawanie dodatkowych zapytań SQL do już istniejących zapytań.

Wtyczka Fonts Manager | Custom Fonts dla WordPressa jest podatna na atak typu SQL Injection oparty na czasie poprzez parametr 'fmcfIdSelectedFnt' we wszystkich wersjach do i włącznie z 1.2. Problem wynika z niewystarczającego zabezpieczenia dostarczonego przez użytkownika parametru oraz braku odpowiedniego przygotowania istniejącego zapytania SQL.

Wtyczka Performance Monitor dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 1.0.6. Problem wynika z niewystarczającej walidacji parametru 'url' w punkcie końcowym REST API '/wp-json/performance-monitor/v1/curl_data'.

Wtyczka MimeTypes Link Icons dla WordPressa jest podatna na atak typu Server-Side Request Forgery we wszystkich wersjach do i włącznie z 3.2.20. Problem wynika z braku odpowiedniej walidacji przy wykonywaniu zewnętrznych żądań HTTP do adresów URL kontrolowanych przez użytkowników, gdy opcja 'Pokaż rozmiar pliku' jest włączona.

Wtyczka Invelity Product Feeds dla WordPressa jest podatna na usuwanie dowolnych plików poprzez atak typu path traversal we wszystkich wersjach do i włącznie z 1.2.6. Problem wynika z braku walidacji i sanitizacji w funkcji 'createManageFeedPage'.

Wtyczka WowOptin: Next-Gen Popup Maker dla WordPress jest podatna na atak typu Server-Side Request Forgery (SSRF) we wszystkich wersjach do i włącznie z 1.4.29. Problem wynika z udostępnienia publicznego punktu końcowego REST API (optn/v1/integration-action) z brakiem odpowiedniej walidacji URL-i, co pozwala na przekazywanie dostarczonych przez użytkownika adresów URL bezpośrednio do funkcji wp_remote_get() i wp_remote_post().

Wersje OpenClaw przed 2026.2.21 mają punkt wejścia do przeglądarki w piaskownicy, który uruchamia x11vnc bez uwierzytelnienia dla sesji obserwatora noVNC, co umożliwia nieautoryzowany dostęp do interfejsu VNC. Zdalni atakujący mogą łączyć się z wystawionym portem noVNC na interfejsie pętli zwrotnej hosta, aby obserwować lub wchodzić w interakcję z przeglądarką w piaskownicy bez podawania danych uwierzytelniających.

Wersje OpenClaw przed 2026.2.25 zawierają podatność na obejście uwierzytelniania w mechanizmie parowania interfejsu użytkownika Control UI, który akceptuje client.id=control-ui bez odpowiedniej weryfikacji tożsamości urządzenia. Klient websocket z rolą uwierzytelnionego węzła może wykorzystać ten identyfikator klienta, aby pominąć wymagania dotyczące parowania i uzyskać nieautoryzowany dostęp do przepływów wykonania zdarzeń węzła.

Wersje OpenClaw przed 2026.2.22 nie oczyszczają zmiennych środowiskowych HOME i ZDOTDIR w funkcji system.run, co pozwala atakującym na ominięcie ochrony listy dozwolonych poleceń. Zdalni atakujący mogą wstrzykiwać złośliwe pliki startowe, takie jak .bash_profile lub .zshenv, co prowadzi do wykonania dowolnego kodu przed wykonaniem poleceń ocenianych na liście dozwolonych.

Wersje OpenClaw przed 2026.2.26 zawierają podatność na traversowanie ścieżek w walidacji granic przestrzeni roboczej, co pozwala atakującym na zapis plików poza przestrzenią roboczą poprzez symlink'i wskazujące na nieistniejące cele poza korzeniem. Podatność wynika z niewłaściwego rozwiązywania aliasów w kontroli granic.

Wersje OpenClaw przed 2026.3.1 zawierają podatność na niezgodność autoryzacji, która pozwala uwierzytelnionym użytkownikom z zakresem operator.write na wywoływanie narzędzi dostępnych tylko dla właścicieli, takich jak brama i cron, poprzez uruchomienia agenta w wdrożeniach z tokenami zakresu. Atakujący z dostępem do zapisu mogą wykonywać działania w kontrolowanej płaszczyźnie, które wykraczają poza ich zamierzony poziom autoryzacji.

Wersje OpenClaw przed 2026.2.22 nie egzekwują konsekwentnie skonfigurowanych limitów bajtów dla przychodzących mediów przed buforowaniem zdalnych mediów w różnych ścieżkach wprowadzania kanałów. Zdalni atakujący mogą wysyłać zbyt duże ładunki mediów, co prowadzi do zwiększonego zużycia pamięci i potencjalnej niestabilności procesu.

Wersje OpenClaw przed 2026.3.1 nie egzekwują dziedziczenia piaskownicy podczas operacji spawn sesji między agentami, co pozwala na tworzenie procesów potomnych przez sesje w piaskownicy pod agentami bez piaskownicy. Atakujący z sesją w piaskownicy może wykorzystać to do uruchomienia procesów potomnych z wyłączonym trybem piaskownicy, omijając ograniczenia dotyczące izolacji środowiska wykonawczego.

Wersje OpenClaw 2026.2.22 i wcześniejsze zawierają podatność na eskalację uprawnień, która pozwala nieparowanym tożsamościom urządzeń na ominięcie wymagań dotyczących parowania operatorów oraz samodzielne przypisanie podwyższonych uprawnień operatora, w tym operator.admin. Atakujący z ważną autoryzacją bramy mogą przedstawić niepodpisaną tożsamość nieparowanego urządzenia, aby zażądać i uzyskać wyższe uprawnienia operatora przed zatwierdzeniem parowania.

Wtyczka Injection Guard dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez złośliwe nazwy parametrów zapytania we wszystkich wersjach do i włącznie z 1.2.9. Problem wynika z niewystarczającej sanitizacji danych wejściowych w funkcji sanitize_ig_data(), która sanitizuje tylko wartości tablic, a nie klucze tablic.