Katalog podatności CVE

W Checkmk w wersji 2.5.0 (beta) przed 2.5.0b2 występuje podatność na trwały XSS. Uwierzytelnieni użytkownicy z uprawnieniami do tworzenia oczekujących zmian mogą wstrzyknąć złośliwy JavaScript do panelu bocznego oczekujących zmian, który wykona się w przeglądarkach innych użytkowników przeglądających ten panel.

RAUC w wersjach przed 1.15.2 zawiera podatność na przepełnienie liczb całkowitych w pakietach w formacie 'plain' o rozmiarze ładunku przekraczającym 2 GiB. Powoduje to, że sygnatura obejmuje tylko pierwsze bajty ładunku, co pozwala atakującemu na modyfikację niepodpisanej części.

Wtyczka Minify HTML dla WordPressa we wszystkich wersjach do 2.1.12 włącznie jest podatna na Cross-Site Request Forgery (CSRF) z powodu braku lub nieprawidłowej walidacji nonce w funkcji 'minify_html_menu_options'. Nieuwierzytelnieni atakujący mogą zaktualizować ustawienia wtyczki poprzez sfałszowane żądanie, jeśli nakłonią administratora do kliknięcia w link.

Wtyczka User Profile Builder dla WordPress do wersji 3.15.5 włącznie zawiera podatność Insecure Direct Object Reference w funkcji wppb_save_avatar_value() z powodu braku walidacji kontrolowanego przez użytkownika klucza. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą zmieniać właściciela dowolnych postów i załączników poprzez zmianę 'post_author'.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie listy dozwolonych nadawców we wtyczce Microsoft Teams. Gdy lista dozwolonych tras zespołu/kanału jest skonfigurowana z pustym parametrem groupAllowFrom, syntezator wiadomości tworzy autoryzację dla dowolnego nadawcy, umożliwiając nieautoryzowanym nadawcom wyzwalanie odpowiedzi w dozwolonych trasach Teams.

OpenClaw przed wersją 2026.3.12 stosuje ograniczenie szybkości tylko po pomyślnym uwierzytelnieniu webhooka, co pozwala atakującym na ominięcie limitów i brute-force sekretów webhooka. Atakujący mogą wysyłać powtarzane żądania uwierzytelnienia z nieprawidłowymi sekretami bez wyzwalania odpowiedzi ograniczenia szybkości, umożliwiając systematyczne odgadywanie sekretów i późniejsze fałszowanie żądań webhooka.

OpenClaw przed wersją 2026.3.11 zawiera podatność polegającą na obejściu granic piaskownicy (sandbox) w funkcji fs-bridge writeFile. Atakujący może wykorzystać warunek wyścigu (TOCTOU) poprzez modyfikację ścieżek nadrzędnych wewnątrz piaskownicy, co pozwala na zapis plików poza dozwolonym obszarem.

OpenClaw przed wersją 2026.3.11 zawiera podatność na ominięcie autoryzacji, która pozwala komendom kanałowym na modyfikację chronionej konfiguracji konta podrzędnego pomimo ograniczeń configWrites. Atakujący z autoryzowanym dostępem do jednego konta mogą wykonać komendy kanałowe, takie jak /config set channels.<provider>.accounts.<id>, aby zmodyfikować konfigurację na kontach docelowych z configWrites: false.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie zatwierdzenia w system.run, gdzie zmienne operandy skryptów nie są powiązane między fazą zatwierdzenia a wykonania. Atakujący mogą uzyskać zatwierdzenie do wykonania skryptu, zmodyfikować zatwierdzony plik skryptu przed wykonaniem i wykonać inną treść, zachowując ten sam zatwierdzony kształt polecenia.

Atakujący może wywołać użycie po zwolnieniu (use-after-free) w DNSdist, wysyłając spreparowane zapytania DNS, gdy używana jest metoda DNSQuestion:getEDNSOptions w niestandardowym kodzie Lua. Może to prowadzić do awarii i odmowy usługi.

Atakujący może wywołać zapis poza zakresem (out-of-bounds write) w DNSdist, wysyłając spreparowane odpowiedzi DNS, gdy używane są metody DNSQuestion:changeName lub DNSResponse:changeName w niestandardowym kodzie Lua. Przepisany pakiet może przekroczyć 65535 bajtów, prowadząc do awarii i odmowy usługi.

Atakujący może nakłonić DNSdist do przydzielenia zbyt dużej ilości pamięci podczas przetwarzania pakietów DNS przez QUIC lub HTTP/3, co prowadzi do odmowy usługi. W niektórych przypadkach system może wejść w stan braku pamięci i zakończyć proces.

Gdy opcja early_acl_drop (earlyACLDrop w Lua) jest wyłączona (domyślnie włączona) na froncie DNS over HTTPS korzystającym z dostawcy nghttp2, kontrola ACL jest pomijana, co pozwala wszystkim klientom na wysyłanie zapytań DoH niezależnie od skonfigurowanej listy ACL.

Atakujący może wywołać odczyt poza dozwolonym obszarem, wysyłając spreparowany pakiet odpowiedzi DNS, gdy niestandardowy kod Lua używa newDNSPacketOverlay do parsowania pakietów DNS. Może to spowodować awarię (odmowę usługi) lub dostęp do niezwiązanej pamięci (potencjalny wyciek informacji).

OpenStack Glance przed wersjami 29.1.1, 30.1.1 oraz 31.0.0 jest podatny na atak SSRF (Server-Side Request Forgery). Uwierzytelniony użytkownik może wykorzystać przekierowania HTTP, aby ominąć walidację URL-i i uzyskać dostęp do wewnętrznych usług. Podatność dotyczy wyłącznie funkcji importowania obrazów, w szczególności metod web-download i glance-download oraz opcjonalnego wtyczki ovf_process.

Moby (Docker) przed wersją 29.3.1 ma podatność, która pozwala ominąć walidację uprawnień wtyczek podczas instalacji. Demon może zaakceptować zestaw uprawnień różniący się od zatwierdzonego przez użytkownika, a w przypadku wtyczek z jednym uprawnieniem porównanie w ogóle nie jest wykonywane.

W FreeRDP przed wersją 3.24.2 wykryto podatność w funkcji progressive_decompress_tile_upgrade(), która nie przerywa wykonania po wykryciu niezgodności, a jedynie loguje ostrzeżenie. Użycie zawiniętej wartości (247) jako wykładnika przesunięcia prowadzi do niezdefiniowanego zachowania i pętli wykonującej około 80 miliardów iteracji, powodując odmowę usługi (DoS) na CPU.

W DDSN Interactive cm3 Acora CMS w wersji 10.7.1 występuje podatność polegająca na nieprawidłowej kontroli dostępu. Użytkownik z uprawnieniami edytora może uzyskać dostęp do wrażliwych plików konfiguracyjnych poprzez bezpośrednie przeglądanie endpointu „/Admin/file_manager/file_details.asp” i manipulowanie parametrem „file”. Poprzez odwołanie się do konkretnych plików (np. cm3.xml) atakujący może odzyskać dane uwierzytelniające administratora systemu, ustawienia SMTP, dane dostępowe do bazy danych oraz inne poufne informacje.

W systemie IngEstate Server w wersji 11.14.0 wykryto wiele podatności na trwały skrypt krzyżowy (XSS) w funkcji edycji strony listy pakietów oprogramowania. Atakujący może wstrzyknąć złośliwy kod do parametrów About application, What's news lub Release note, co prowadzi do wykonania dowolnych skryptów lub kodu HTML.

Podatność w bibliotece BTstack przed wersją 1.8.1 umożliwia odczyt poza zakresem w obsłudze komendy GET_FOLDER_ITEMS w profilu AVRCP Browsing Target. Brak walidacji granic pakietów i liczby atrybutów pozwala sparowanemu atakującemu przez Bluetooth Classic na wywołanie awarii i uszkodzenie stanu bitmapy atrybutów.