Katalog podatności CVE

Podatność w OpenClaw przed wersją 2026.6.1 umożliwia ominięcie maskowania poświadczeń w funkcji eksportu trajektorii. Niżej zaufani wywołujący mogą uzyskać dostęp do danych, które powinny pozostać w zaufanych granicach.

OpenClaw przed wersją 2026.6.1 zawiera podatność na atak typu slow-read, który wyczerpuje zasoby bramy. Atakujący z dostępem do skonfigurowanych ścieżek wejściowych może dostarczyć zdalne adresy URL multimediów, powodując zmniejszenie dostępności usługi.

Podatność w OpenClaw przed wersją 2026.6.5 umożliwia przekazywanie nagłówków Authorization podczas przekierowań MCP SSE. Gdy funkcja jest włączona i dostępna, osoba o niższym zaufaniu lub skonfigurowana ścieżka wejściowa może wykonać lub utrwalić działania wykraczające poza zamierzone uprawnienia.

W Wazuh w wersjach od 3.0.0 do 4.14.4 wykryto podatność polegającą na niedomiarze liczby całkowitej typu size_t w funkcji os_crypto/shared/msgs.c:389. Umożliwia ona dowolnemu uwierzytelnionemu agentowi Wazuh spowodowanie awarii procesu wazuh-remoted na menedżerze, co natychmiast rozłącza wszystkich agentów.

W Wazuh w wersjach od 4.6.0 do 4.14.4 wykryto podatność przepełnienia bufora sterty w komponencie syscheck agenta dla systemu Windows. Podczas rozwijania ścieżek rejestru zawierających symbole wieloznaczne (* lub ?) agent alokuje stały bufor o rozmiarze 256 bajtów, co przy odpowiednio długiej nazwie podklucza rejestru (do 255 znaków) prowadzi do zapisu poza przydzielonym obszarem pamięci.

Wtyczka Smart Custom Fields dla WordPressa do wersji 5.0.7 włącznie zawiera podatność na trwałe skrypty między witrynami (Stored XSS). Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania tytułów załączonych obrazów. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie autora lub wyższym wstrzyknięcie dowolnych skryptów, które wykonają się podczas przeglądania zainfekowanej strony.

W Wazuh w wersjach od 3.9.0 do 4.14.4 wykryto podatność na zdalne wyczerpanie pamięci. Atakujący może wysłać spreparowany nagłówek protokołu klastra z dowolnie dużą długością ładunku, co prowadzi do alokacji pamięci przed uwierzytelnieniem i deszyfrowaniem.

W Wazuh w wersjach 4.6.0 do 4.14.4 wykryto błąd logiczny w mechanizmie ograniczania szybkości żądań. Powoduje on, że punkt końcowy /events ignoruje globalny limit żądań na minutę, jeśli nie został przekroczony limit specyficzny dla zdarzeń (30/min). Umożliwia to wstrzykiwanie zdarzeń do analizatora (analysisd) ponad skonfigurowany przez administratora globalny limit.

Podatność w serwerze HTTP h2o przed commit 8dc37cb powoduje, że odebranie wiadomości ClientHello przez TLS lub QUIC z rozszerzeniem SNI o zerowej długości prowadzi do odczytu poza zakresem podczas kopiowania nazwy hosta. Może to wywołać naruszenie segmentacji i potencjalnie umożliwić atak typu odmowa usługi (DoS).

Quicly, implementacja protokołu QUIC używanego głównie w serwerze H2O, przed commit dccf5d4 była podatna na atak polegający na wstrzyknięciu resetu bezstanowego. Problem wynikał z braku walidacji wpisów w tablicy przechowującej wzorce resetu, co pozwalało atakującemu na ścieżce sieciowej na zerwanie połączeń QUIC.

W implementacji protokołu QUIC o nazwie Quicly, używanej głównie w serwerze HTTP H2O, przed zatwierdzeniem 8b178e6, atakujący mógł wysłać ramkę STREAM z jednym bajtem na największym dozwolonym przesunięciu, aby uzyskać dodatkowy kredyt kontroli przepływu. W pewnych warunkach prowadziło to do wyczerpania pamięci, ponieważ aplikacja alokowała bufor odbiorczy dla wszystkich danych przychodzących poza kolejnością, aż do największego odebranego przesunięcia.

W Microsoft Office SharePoint wykryto podatność na ataki XSS (cross-site scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Uwierzytelniony atakujący może przeprowadzić fałszowanie w sieci.

Podatność cross-site scripting (XSS) w Windows Admin Center. Nieuwierzytelniony atakujący może wykorzystać niewłaściwą neutralizację danych wejściowych podczas generowania strony internetowej, aby przeprowadzić atak typu spoofing przez sieć.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 funkcja blokowania treści ujawniała adres e-mail i identyfikator użytkownika bez sprawdzania uprawnień dostępu. Uwierzytelniony użytkownik z niskimi uprawnieniami mógł poznać dane administratorów i innych użytkowników, którzy aktualnie edytowali model.

W systemie zarządzania treścią Kirby w wersjach przed 4.9.1 i 5.4.1 nie sprawdzano uprawnienia `pages.access` podczas renderowania wersji roboczych stron. Uwierzytelniony atakujący, znający pełną ścieżkę do istniejącej wersji roboczej, mógł uzyskać dostęp do jej podglądu, co prowadziło do ujawnienia poufnych informacji.

Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.

W bibliotece YAML::Syck dla Perla przed wersją 1.47 wykryto podatność use-after-free i podwójnego zwolnienia pamięci. Problem występuje, gdy węzeł z nazwą kotwicy jest zwalniany, ale wciąż znajduje się na stosie parsera, co prowadzi do ponownego zwolnienia i awarii interpretera.

Podatność dzielenia przez zero w pakiecie Productivity Suite umożliwia lokalnemu atakującemu spowodowanie awarii systemu poprzez wywołanie błędu dzielenia przez zero.

Podatność w Productivity Suite umożliwia fizycznemu atakującemu odczyt poza zakresem pamięci poprzez kontrolowanie długości danych wysyłanych do urządzenia USB. Może to prowadzić do awarii systemu lub ujawnienia pamięci jądra.

Podatność poza zakresem odczytu w Productivity Suite umożliwia lokalnemu atakującemu wywołanie uszkodzenia pamięci jądra poprzez wysłanie spreparowanego żądania IOCTL. Może to prowadzić do ograniczonego ujawnienia informacji lub zakłócenia działania produktu.