Katalog podatności CVE

Wtyczka Bookly dla WordPress w wersji do 27.2 zawiera lukę Stored XSS w ciasteczku 'bookly-customer-full-name'. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się, gdy administrator odwiedzi zainfekowaną stronę. Wymaga włączenia opcji 'Zapamiętaj dane osobowe w ciasteczkach' (domyślnie wyłączona).

Wtyczka GPTranslate dla WordPressa do wersji 2.31 zawiera podatność na przechowywany atak XSS przez REST API. Niezautoryzowany atakujący może wstrzyknąć skrypty, które wykonają się przy każdym dostępie do strony. Klucz API jest ujawniany w źródle HTML każdej strony.

W operatorze Grafana wykryto podatność na przejście ścieżki i eskalację uprawnień. Umożliwia ona złośliwemu użytkownikowi, który może tworzyć zasoby Dashboard lub LibraryPanel, uzyskanie tokena konta usługowego Kubernetes menedżera operatora.

Wtyczka WP Ticket dla WordPressa do wersji 6.0.4 włącznie zawiera podatność na wstrzykiwanie SQL przez parametr wyszukiwania `s`. Niezautoryzowany atakujący może dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie wrażliwych danych z bazy.

Podatność w skryptach obsługi zdarzeń ABRT w bibliotece libreport umożliwia nadpisywanie dowolnych plików w systemie. Skrypty zapisują dane do plików bez użycia flagi O_NOFOLLOW, co pozwala na podążanie za dowiązaniami symbolicznymi przez proces działający jako root.

W usłudze D-Bus abrt-dbus w metodzie ChownProblemDir wykryto problem wyścigu. Metoda ta zmienia właściciela plików w katalogu zrzutów na UID wywołującego, nawet gdy skrypty zdarzeń potrzymują blokadę zapisu, co pozwala atakującemu na uzyskanie kontroli nad katalogiem zrzutów na poziomie systemu plików.

Znaleziono warunek wyścigu TOCTOU w metodzie SetElement usługi D-Bus abrt-dbus. Między utworzeniem katalogu zrzutu a wykonaniem zdarzenia po utworzeniu, każdy lokalny użytkownik może wywołać SetElement, aby zapisać dowolne pliki tekstowe w katalogu zrzutu należącym do roota, omijając walidację pakietów i umożliwiając przetrwanie awarii niepakowanych binariów.

W silniku antywirusowym Avira wykryto podatność polegającą na zapisie poza dozwolonym obszarem sterty podczas skanowania złośliwego archiwum POSIX tar. Może to prowadzić do lokalnego wykonania kodu lub odmowy usługi procesu silnika antywirusowego. Problem dotyczy wersji silnika przed 8.3.27.12 na Windows, macOS i Linux.

Podatność ujawnienia informacji w Avira Password Manager podczas używania z Mozilla Firefox umożliwia zdalnemu atakującemu działającemu w ramce iframe z innego źródła uzyskanie danych uwierzytelniających autouzupełnianych dla strony nadrzędnej poprzez nieprawidłowy wybór pola autouzupełniania.

W silniku antywirusowym Avira wykryto podatność polegającą na odczycie poza dozwolonym obszarem sterty podczas skanowania złośliwego pliku PDF. Może to prowadzić do lokalnego wykonania kodu lub odmowy usługi procesu silnika antywirusowego. Problem dotyczy wersji silnika przed 8.3.70.76 na Windows, macOS i Linux.

W silniku antywirusowym Avira wykryto podatność polegającą na odczycie poza dozwolonym obszarem sterty podczas skanowania złośliwego pliku Windows PE. Może to prowadzić do lokalnego wykonania kodu lub odmowy usługi procesu silnika antywirusowego. Problem dotyczy wersji silnika przed 8.3.70.98 na Windows, macOS i Linux.

W silniku antywirusowym Avira wykryto podatność polegającą na zapisie poza dozwolonym obszarem sterty spowodowanym przepełnieniem liczby całkowitej podczas skanowania złośliwego pliku wykonywalnego MS-DOS. Może to prowadzić do lokalnego wykonania kodu lub odmowy usługi procesu silnika antywirusowego. Problem dotyczy wersji silnika przed 8.3.70.104 na Windows, macOS i Linux.

Podatność w Capgo przed wersją 12.128.2 umożliwia atakującym rejestrację kont przy użyciu dowolnych adresów e-mail bez weryfikacji, a następnie inicjację usunięcia, co blokuje adres e-mail w stanie oczekiwania na usunięcie. Atakujący mogą trwale zablokować legalnym użytkownikom dostęp do platformy na 30 dni, wykorzystując niezweryfikowaną własność e-maila w operacjach cyklu życia konta.

Podatność w OpenClaw przed wersją 2026.5.12. Polega na obejściu listy dozwolonych poleceń (allowlist) w obsłudze zakodowanych poleceń PowerShell. Atakujący może wykonać zakodowane polecenia, używając skróconych aliasów flag, które nie są rozpoznawane przez parser listy dozwolonych. Zdalni uwierzytelnieni operatorzy mogą ominąć sprawdzanie listy dozwolonych, używając nierozpoznanych form aliasów zakodowanych poleceń, aby wykonać dowolny kod PowerShell.

Podatność w OpenClaw przed wersją 2026.4.27 umożliwia ominięcie autoryzacji w komendach slash QQBot przed ich wysłaniem. Uwierzytelnieni nadawcy mogą pominąć sprawdzanie polityki allowFrom, co pozwala na wywołanie komend przed zastosowaniem skonfigurowanych reguł kontroli dostępu.

OpenClaw przed wersją 2026.4.29 zawiera lukę w autoryzacji w komendzie strumieniowania QQBot, która pozwala uwierzytelnionym nadawcom na modyfikację konfiguracji bez wymaganych ograniczeń allowFrom. Atakujący mogą zmieniać konfigurację strumieniowania QQBot poza zamierzoną polityką administracyjną.

OpenClaw przed wersją 2026.5.18 zawiera podatność walidacji nagłówka tożsamości, umożliwiającą lokalnym wywołującym z tego samego hosta fałszowanie nagłówków tożsamości zaufanego proxy. Atakujący z dostępem do portu Gateway proxy mogą dostarczyć sfałszowane nagłówki tożsamości, aby przyjąć tożsamość operatora i potencjalnie eskalować uprawnienia.

OpenClaw przed wersją 2026.5.18 zawiera podatność w mechanizmie walidacji listy dozwolonych poleceń w system.run safe-bin. Uwierzytelnieni operatorzy mogą wykorzystać metaznaki powłoki w zatwierdzonych poleceniach do odczytu lokalnych plików i ujawnienia poufnych danych konfiguracyjnych.

OpenClaw przed wersją 2026.5.18 zawiera podatność na obcinanie wyświetlania zatwierdzeń, umożliwiającą uwierzytelnionym użytkownikom ukrywanie sufiksów poleceń przed osobami zatwierdzającymi. Atakujący mogą przesyłać zbyt duże polecenia exec z nieszkodliwymi prefiksami i złośliwymi sufiksami, aby po zatwierdzeniu wykonać nieautoryzowane operacje.

Podatność obejścia autoryzacji w OpenClaw przed wersją 2026.5.6. Uwierzytelnieni nadawcy mogą wykonywać polecenia zarezerwowane dla właściciela bez odpowiedniej kontroli dostępu, co pozwala na wykonanie uprzywilejowanych poleceń przez nieautoryzowanych użytkowników.