Katalog podatności CVE

Roxy-WI to interfejs webowy do zarządzania serwerami Haproxy, Nginx, Apache i Keepalived. W wersjach przed 8.2.6.4 parametr oldconfig w interfejsie haproxy_section_save ma podatność na odczyt dowolnych plików.

Kirby pozwalał na nadpisanie opcji uprawnień podczas tworzenia stron, plików i użytkowników poprzez wstrzyknięcie dynamicznej konfiguracji blueprintu do danych modelu. Wstrzyknięte opcje mogły zawierać 'create' => true, omijając uprawnienia skonfigurowane przez dewelopera. Problem naprawiono w wersjach 4.9.0 i 5.4.0 poprzez filtrowanie właściwości blueprint.

Podatność w Kirby CMS pozwalała użytkownikom z uprawnieniem `pages.create` na tworzenie stron bezpośrednio w stanie opublikowanym poprzez REST API, z pominięciem wymaganego uprawnienia `pages.changeStatus`. Problem dotyczył wersji przed 4.9.0 i 5.4.0 i został naprawiony poprzez zmianę logiki rozwiązywania zapytań w opcjach blueprintów.

Metoda Xml::value() w Kirby miała specjalne traktowanie bloków CDATA, które można było oszukać, aby przepuścić wartości zawierające prawidłowy blok CDATA wraz z innymi danymi strukturalnymi poza nim. Omijało to ochronę wartości w metodach Xml::tag(), Xml::create() i handlerze danych XML. Problem naprawiono w wersjach 4.9.0 i 5.4.0.

Podatność w interfejsie zarządzania siecią SenseLive X3050 pozwala na modyfikację krytycznych parametrów konfiguracyjnych systemu i sieci bez odpowiedniej walidacji i kontroli bezpieczeństwa. Niewystarczające egzekwowanie ograniczeń na wrażliwych funkcjach umożliwia ustawienie parametrów na wartości nieobsługiwane lub niebezpieczne.

W interfejsie zarządzania siecią SenseLive X3050 występuje podatność, w której aktualizacje haseł nie są niezawodnie stosowane z powodu niewłaściwego zarządzania zmianami poświadczeń w backendzie. Po przywróceniu ustawień fabrycznych za pomocą narzędzia SenseLive Config 2.0, interfejs może wskazywać, że aktualizacja hasła była udana, jednak system może nadal akceptować poprzednie lub domyślne poświadczenia.

Podatność w ekosystemie zarządzania SenseLive X3050 umożliwia nieautoryzowane odkrywanie wdrożonych jednostek za pomocą protokołu zarządzania dostawcy. Umożliwia to identyfikację obecności urządzeń, identyfikatorów oraz interfejsów zarządzania bez konieczności posiadania poświadczeń.

Xibo to otwartoźródłowa platforma do cyfrowego oznakowania, która ma podatność na wstrzykiwanie SQL w API odpowiedzialnym za filtrowanie zestawów danych. Wersje od 1.7 do 4.4.0 pozwalają uwierzytelnionym użytkownikom na uzyskanie i modyfikację dowolnych danych w bazie Xibo poprzez wstrzykiwanie specjalnie przygotowanych wartości w parametrze filtra API.

Podatność w interfejsie zarządzania siecią SenseLive X3050 pozwala na wykonywanie operacji zmieniających stan bez odpowiednich zabezpieczeń przed atakami typu Cross-Site Request Forgery (CSRF). Brak weryfikacji pochodzenia żądań po stronie serwera oraz brak tokenów CSRF umożliwia złośliwej stronie internetowej skłonienie przeglądarki użytkownika do wysyłania nieautoryzowanych żądań konfiguracyjnych do urządzenia.

OpenClaw przed wersją 2026.3.28 zawiera lukę w zabezpieczeniach, która pozwala na obejście ochrony SSRF poprzez nieblokowanie czterech specjalnych zakresów IPv6. Atakujący mogą wykorzystać tę lukę, tworząc adresy URL skierowane na wewnętrzne lub nieroutowalne adresy IPv6.

OpenClaw przed wersją 2026.3.28 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym operatorom z uprawnieniami do zapisu uzyskać dostęp do konfiguracji Telegrama klasy admin oraz ustawień trwałości cron poprzez punkt końcowy send. Atakujący z uprawnieniami operator.write mogą wykorzystać niewystarczające kontrole dostępu do uzyskania dostępu do wrażliwej funkcjonalności administracyjnej i modyfikacji mechanizmów trwałości.

OpenClaw w wersjach przed 2026.3.28 zawiera podatność na wykonanie dowolnego kodu w trybie lustrzanym, która przekształca nieufne pliki sandboxowe w haki robocze. Atakujący z dostępem do trybu lustrzanego mogą wykonać dowolny kod na hoście podczas uruchamiania bramy, wykorzystując włączone haki robocze.

OpenClaw przed wersją 2026.3.22 zawiera lukę w kontroli dostępu w funkcji allowProfiles, która pozwala atakującym na obejście ograniczeń profilu poprzez trwałą mutację profilu i wybór profilu w czasie rzeczywistym.

OpenClaw przed wersją 2026.3.31 zawiera podatność na zdalne wykonanie kodu, która pozwala na ominięcie mechanizmu uwierzytelniania bramy zakresu węzła przez węzeł sparowany z urządzeniem. Atakujący posiadający dane uwierzytelniające do parowania urządzeń mogą wykonywać dowolne polecenia węzła na systemie gospodarza bez odpowiedniej walidacji parowania węzła.

OpenClaw przed wersją 2026.3.28 zawiera lukę umożliwiającą obejście zgody agentów, co pozwala agentom LLM na ciche wyłączenie zatwierdzenia wykonania za pomocą parametru config.patch. Atakujący zdalni mogą wykorzystać tę lukę do ominięcia zabezpieczeń i wykonywania nieautoryzowanych operacji bez zgody użytkownika.

OpenClaw przed wersją 2026.3.31 nie weryfikuje pochodzenia przeglądarki w punktach końcowych operatora HTTP podczas pracy w trybie zaufanego proxy, co umożliwia ataki typu cross-site request forgery. Atakujący mogą wykorzystać to, wysyłając złośliwe żądania z przeglądarki w zaufanych wdrożeniach proxy, aby wykonać nieautoryzowane działania na punktach końcowych operatora HTTP.

OpenClaw przed wersją 2026.3.28 zawiera podatność na obejście uwierzytelniania w komponencie zdalnego onboardingu, która pozwala na istnienie nieautoryzowanych punktów odkrywania bez wyraźnej potwierdzenia zaufania. Atakujący mogą podszywać się pod te punkty, aby przekierować onboarding do złośliwych bramek i przechwytywać dane uwierzytelniające lub ruch.

OpenClaw przed wersją 2026.3.31 pozwala na nadpisanie zmiennej środowiskowej OPENCLAW_BUNDLED_HOOKS_DIR przez pliki .env w przestrzeni roboczej, co umożliwia ładowanie kodu hooków kontrolowanego przez atakującego. Atakujący mogą zastąpić zaufane domyślne hooki z niezaufanych przestrzeni roboczych, co prowadzi do wykonania dowolnego kodu.

Niekontrolowany element ścieżki wyszukiwania w Microsoft Power Apps umożliwia nieautoryzowanemu atakującemu wykonanie kodu przez sieć.

Podatność CVE-2026-26150 dotyczy ataku typu server-side request forgery (SSRF) w Microsoft Purview, który umożliwia nieautoryzowanemu atakującemu podniesienie uprawnień w sieci.