Katalog podatności CVE

Podatność w OpenClaw w wersjach od 2026.6.6 do 2026.6.8 umożliwia ominięcie autoryzacji w akcjach związanych z serwerami Discord. Niżej zaufańscy wywołujący mogą wykonywać operacje wymagające silniejszych kontroli autoryzacji.

W OpenClaw w wersjach od 2026.6.6 do 2026.6.8 występuje podatność polegająca na pominięciu autoryzacji w obsłudze mutacji wiadomości. Umożliwia ona wywołującym o niższym poziomie zaufania wykonanie operacji wymagających silniejszej autoryzacji.

Podatność w OpenClaw przed wersją 2026.6.9 umożliwia ominięcie autoryzacji w wrapperze flock, co pozwala mniej zaufanym wywołującym na wykonywanie lub utrwalanie działań poza zamierzonym zakresem uprawnień. Atakujący mogą wykorzystać skonfigurowane ścieżki wejściowe do obejścia wiązania zatwierdzenia wykonywania i przeprowadzić nieautoryzowane operacje, gdy funkcja jest włączona.

Podatność w OpenClaw przed wersją 2026.6.9 w funkcji synchronizacji mirrorów umożliwia podążanie za dowiązaniami symbolicznymi, co pozwala mniej zaufanym wywołującym na wykonywanie akcji wymagających silniejszej autoryzacji. Atakujący mogą wykorzystać zdalne dowiązania symboliczne do ominięcia kontroli polityk i granic autoryzacji, gdy funkcja jest włączona i dostępna.

W bibliotece OpenClaw @openclaw/feishu w wersjach do 2026.6.6 włącznie wykryto podatność polegającą na nieprawidłowej autoryzacji. Narzędzia uprawnień Feishu mogą ignorować ustawienia wyłączenia dla poszczególnych kont, co pozwala mniej zaufanemu wywołującemu lub skonfigurowanej ścieżce wejściowej na wykonanie akcji wymagających silniejszej autoryzacji. Problem został naprawiony w wersji 2026.6.9.

Podatność w pakiecie npm @openclaw/feishu (wersje do 2026.6.6) pozwala na ignorowanie wyłączeń dla poszczególnych kont. Niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa mogą wykonać operacje wymagające silniejszej autoryzacji, co prowadzi do nieautoryzowanych działań. Problem został naprawiony w wersji 2026.6.9.

Podatność w OpenClaw przed wersją 2026.6.8 umożliwia ominięcie autoryzacji w kompatybilnych z OpenAI nadpisywaniach modeli HTTP. Niżej zaufani wywołujący mogą wykonywać akcje wymagające silniejszych kontroli autoryzacyjnych.

Argo CD Helm Chart przed wersją 10.0.0 domyślnie nie instaluje polityk sieciowych, co pozwala dowolnemu podowi w klastrze na dostęp do repo-server i innych API Argo. Atakujący mogą wykorzystać ten nieograniczony dostęp sieciowy poprzez kombinowane ataki, prowadząc do przejęcia klastra i zdalnego wykonania kodu.

Podatność w luci-app-banip umożliwia atakującemu wstrzyknięcie fałszywego adresu IP do logów poprzez pole nazwy użytkownika, co powoduje blokowanie niewłaściwego celu przez narzędzie banIP. Niezautoryzowany atakujący zdalnie może wykorzystać tę lukę, aby uniknąć blokady i kontynuować ataki.

Podatność brute-force w PasswordPusher przed wersją 2.9.2 w endpointcie POST /p/:token/access. Brak ograniczenia szybkości żądań i mechanizmu blokady dla konkretnego pusha umożliwia atakującemu odgadnięcie hasła dostępu przy 120 próbach na minutę.

W MCP Appium przed wersją 1.85.10 funkcja createLocatorGeneratorUI interpoluje atrybuty elementów kontrolowane przez atakującego bezpośrednio do szablonu HTML bez odpowiedniego escapowania. Pozwala to na wstrzyknięcie dowolnego kodu HTML i JavaScript, który wykonuje się w kontekście klienta MCP ofiary.

ChurchCRM przed wersją 7.4.0 zawiera podatności XSS spowodowane niewystarczającym kodowaniem wyjścia dla nazw i wartości parametrów kontrolowanych przez użytkownika. Atakujący może odzwierciedlić złośliwy skrypt w kontekście JavaScript lub HTML.

W bibliotece libmodbus 3.1.12 dla systemu Windows wykryto podatność na atak typu DoS (Denial of Service). Problem wynika z nieprawidłowego zarządzania limitami czasu podczas operacji odczytu sieciowego w pętli odbiorczej.

W systemie MikroTik RouterOS w wersjach 7.21.x przed 7.21.4 oraz 7.22.x przed 7.22.2 wykryto podatność w funkcji unflatten() biblioteki libumsg.so. Zdalny atakujący może wykorzystać ten błąd do spowodowania odmowy usługi (DoS).

Podatność w funkcji downloadBlob w Ollama umożliwia zdalnemu atakującemu wywołanie stanu odmowy usługi (DoS) bez wymaganego uwierzytelnienia. Problem wynika z braku walidacji danych użytkownika, co prowadzi do odczytu poza granicami zaalokowanej tablicy.

Podatność w Glarysoft Glary Utilities umożliwia lokalną eskalację uprawnień poprzez nadużycie funkcji czyszczenia dysku. Atakujący z niskimi uprawnieniami może utworzyć dowiązanie symboliczne (junction), aby usunąć dowolne pliki w kontekście systemu.

Podatność w kamerze Lorex 2K Indoor Wi-Fi Security Camera wynika z braku prawidłowej walidacji certyfikatu serwera zarządzania urządzeniem. Umożliwia to atakującemu z tej samej sieci wykonanie dowolnego kodu w kontekście roota bez interakcji użytkownika.

W kamerze Lorex 2K Indoor Wi-Fi Security Camera wykryto podatność umożliwiającą zdalne wykonanie kodu przez atak z formatowaniem łańcucha. Luka występuje w procesie parsowania żądań JSON w pliku binarnym sonia, gdzie brak walidacji danych wejściowych pozwala na użycie ich jako specyfikatora formatu. Atak nie wymaga uwierzytelnienia i może być przeprowadzony z sąsiedniej sieci.

W systemie SourceCodester Class and Exam Timetabling System 1.0 w pliku /edit_exam2.php wykryto podatność na iniekcję SQL. Atakujący może zdalnie manipulować argumentem ID, co prowadzi do nieautoryzowanego dostępu do bazy danych. Exploit został opublikowany, co zwiększa ryzyko wykorzystania.

W systemie ChurchCRM przed wersją 7.4.0 wykryto podatność w punktach końcowych ograniczonych do rodziny, która umożliwiała użytkownikom o niskich uprawnieniach odczyt i modyfikację rekordów innych rodzin. Uwierzytelniony użytkownik niebędący administratorem, posiadający dostęp EditSelf, może podać identyfikator innej rodziny i uzyskać dostęp do rekordów spoza swojego zakresu. Backend ufa kontrolowanemu przez atakującego identyfikatorowi rodziny i ładuje odpowiednią encję rodziny bez weryfikacji, czy żądana rodzina należy do bieżącego użytkownika.