Katalog podatności CVE

Moduł automatycznej akceptacji poleceń Ridvay Code zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, co czyni jego mechanizm białej listy całkowicie nieskutecznym. System opiera się na kruchych wyrażeniach regularnych do analizy struktur poleceń, co prowadzi do błędnej identyfikacji niebezpiecznych operacji.

NocoBase przed wersją 2.0.28 zawiera podatność w węźle skryptowym Workflow, która pozwala uwierzytelnionemu atakującemu na ucieczkę z piaskownicy Node.js i zdalne wykonanie kodu jako root. Atak wykorzystuje dostęp do obiektu console._stdout i console._stderr w piaskownicy oraz prototypowanie.

Podatność CVE-2026-30310 dotyczy systemu automatycznego wykonywania poleceń terminalowych w aplikacji Sixth, który oferuje dwie opcje: wykonywanie bezpiecznych poleceń oraz wszystkich poleceń. Atakujący może wykorzystać atak typu prompt injection, aby oszukać model i sklasyfikować złośliwe polecenie jako 'bezpieczne', co pozwala na jego wykonanie bez zgody użytkownika.

OpenClaw przed wersją 2026.3.13 zawiera podatność na zdalne wstrzykiwanie poleceń w procesie przygotowywania załączników iMessage, co pozwala atakującym na wykonywanie dowolnych poleceń na skonfigurowanych zdalnych hostach. Problem wynika z braku walidacji nieoczyszczonych ścieżek załączników zdalnych zawierających metaznaki powłoki.

Wersje OpenClaw 2026.3.7 przed 2026.3.11 zawierają podatność na obejście autoryzacji, która pozwala na wykonywanie metod bramy przez klienta syntetycznego z szerokimi uprawnieniami administracyjnymi. Zdalne, nieautoryzowane żądania do tras należących do wtyczek mogą wywoływać metody runtime.subagent, co umożliwia wykonywanie uprzywilejowanych działań bramy, w tym usuwanie sesji i uruchamianie agentów.

Wersje Business::OnlinePayment::StoredTransaction do 0.01 dla Perla wykorzystują niebezpieczny klucz tajny. Klucz ten jest generowany przy użyciu hasha MD5 z pojedynczego wywołania wbudowanej funkcji rand, co jest niewłaściwe do zastosowań kryptograficznych.

W aplikacji webowej Umami Software występuje podatność na wstrzykiwanie SQL (SQLi) z powodu niewłaściwie sanitizowanego parametru. Umożliwia to uwierzytelnionemu atakującemu wykonanie dowolnych poleceń SQL w bazie danych poprzez manipulację wartością parametru 'timezone'.

Ruby LSP to implementacja protokołu serwera językowego dla Ruby. Przed wersjami Shopify.ruby-lsp 0.10.2 i ruby-lsp 0.26.9, ustawienie rubyLsp.branch w VS Code było interpolowane bez sanitizacji do generowanego Gemfile, co umożliwiało wykonanie dowolnego kodu Ruby, gdy użytkownik otworzył projekt zawierający złośliwy plik .vscode/settings.json.

Projekt act umożliwia lokalne uruchamianie akcji GitHub. W wersjach przed 0.2.86, act bezwarunkowo przetwarzał przestarzałe komendy ::set-env:: i ::add-path::, co stwarzało ryzyko wstrzykiwania danych do środowiska.

SciTokens to biblioteka referencyjna do generowania i używania SciTokens. W wersjach przed 1.9.6 klasa KeyCache była podatna na atak SQL Injection z powodu użycia metody str.format() Pythona do konstruowania zapytań SQL z danymi dostarczonymi przez użytkownika.

Wtyczka Everest Forms Pro dla WordPressa jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie kodu PHP we wszystkich wersjach do i włącznie z 1.9.12. Problem wynika z funkcji process_filter() dodatku Calculation, która łączy wartości pól formularza przesyłane przez użytkowników w ciąg kodu PHP bez odpowiedniego zabezpieczenia przed wstrzyknięciem.

baserCMS to framework do tworzenia stron internetowych. Przed wersją 5.2.3 występowała podatność na wstrzyknięcie poleceń systemowych w instalatorze, która została załatana w wersji 5.2.3.

baserCMS to framework do tworzenia stron internetowych. Przed wersją 5.2.3 występowała podatność na wstrzykiwanie poleceń systemowych w funkcji aktualizacji, która pozwalała uwierzytelnionemu użytkownikowi z uprawnieniami administratora na wykonywanie dowolnych poleceń systemowych na serwerze.

baserCMS to framework do tworzenia stron internetowych. Przed wersją 5.2.3 występowała podatność na wstrzyknięcie SQL w postach blogowych, która została załatana w wersji 5.2.3.

baserCMS to framework do tworzenia stron internetowych. Przed wersją 5.2.3, baserCMS zawierał podatność na wstrzykiwanie poleceń systemowych w funkcjonalności aktualizacji, co pozwalało uwierzytelnionemu administratorowi na wykonywanie dowolnych poleceń OS na serwerze.

Wtyczka Contact Form by Supsystic dla WordPressa jest podatna na wstrzykiwanie szablonów po stronie serwera (SSTI), co prowadzi do zdalnego wykonania kodu (RCE) we wszystkich wersjach do i włącznie 1.7.36. Problem wynika z użycia silnika szablonów Twig `Twig_Loader_String` bez odpowiedniego zabezpieczenia oraz funkcji `cfsPreFill`, która pozwala nieautoryzowanym użytkownikom na wstrzykiwanie dowolnych wyrażeń Twig do wartości pól formularza za pomocą parametrów GET.

Kyverno w wersjach 1.16.0 i nowszych jest podatny na atak SSRF z powodu nieograniczonych funkcji HTTP CEL.

CVE-2026-34558 dotyczy aplikacji CI4MS, która przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika w funkcjonalności zarządzania metodami. Wiele pól wejściowych akceptuje złośliwe ładunki JavaScript, które są przechowywane na serwerze bez sanitizacji, co prowadzi do ataków typu Stored DOM-Based Cross-Site Scripting (XSS).

CVE-2026-34557 dotyczy aplikacji CI4MS, która przed wersją 0.31.0.0 nieprawidłowo sanitizuje dane wejściowe kontrolowane przez użytkownika w funkcjonalności zarządzania grupami i rolami. W wyniku tego, złośliwe ładunki JavaScript mogą być wstrzykiwane i przechowywane na serwerze, a następnie niebezpiecznie renderowane w widokach administracyjnych.

OpenOlat to otwartoźródłowa platforma e-learningowa, która w wersjach od 10.5.4 do przed 20.2.5 nie weryfikowała podpisów JWT w implementacji przepływu OpenID Connect. Metoda JSONWebToken.parse() ignoruje segment podpisu JWT, co prowadzi do braku weryfikacji podpisu kryptograficznego.