Katalog podatności CVE

OpenClaw przed wersją 2026.3.22 zawiera podatność na obsługę nadpisywania zmiennych środowiskowych, która pozwala atakującym na obejście polityki wspólnego środowiska hosta poprzez niespójne ścieżki sanitizacji. Atakujący mogą dostarczyć zablokowane lub źle sformatowane klucze nadpisania, które przechodzą przez niespójną walidację, co umożliwia wykonanie dowolnego kodu z niezamierzonymi zmiennymi środowiskowymi.

OpenClaw przed wersją 2026.3.22 zawiera podatność na niezvalidated WebView JavascriptInterface, która pozwala atakującym na wstrzykiwanie dowolnych instrukcji. Nieufne strony mogą wywołać mostek canvas, aby wykonać złośliwy kod w kontekście aplikacji Android.

OpenClaw przed wersją 2026.3.24 zawiera podatność na wykonanie dowolnego kodu w lokalnej instalacji wtyczek i haków. Atakujący mogą wykonać złośliwy kod, tworząc plik .npmrc z nadpisanym wykonaniem git.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.3.0 miała lukę w modelu uprawnień. Sprawdzanie uprawnień przy zmianie projektu nadrzędnego nie uwzględniało odpowiednich reguł dziedziczenia, co mogło prowadzić do nieautoryzowanego dostępu do projektów.

Vikunja to platforma do zarządzania zadaniami, która przed wersją 2.3.0 wydawała pełny token JWT w obsłudze callback OIDC, nie sprawdzając, czy użytkownik ma włączoną dwuetapową weryfikację TOTP. W przypadku lokalnego użytkownika z włączonym TOTP, drugi czynnik był całkowicie pomijany.

Apache Log4j JsonTemplateLayout do wersji 2.25.3 generuje nieprawidłowy JSON, gdy zdarzenia logowania zawierają nie-skończone wartości zmiennoprzecinkowe (NaN, Infinity, -Infinity), co jest niezgodne z RFC 8259. Atakujący może to wykorzystać, jeśli aplikacja używa JsonTemplateLayout i loguje MapMessage lub obiekt z kontrolowaną wartością zmiennoprzecinkową.

Apache Log4j Core w wersjach do 2.25.3 ma problem z XmlLayout, który nie sanitizuje znaków zabronionych przez specyfikację XML 1.0. To prowadzi do generowania nieprawidłowego XML, gdy wiadomość logu lub wartość MDC zawiera takie znaki.

Log4j1XmlLayout w mostku Apache Log4j 1 do Log4j 2 nieprawidłowo ucieka znaki zabronione przez standard XML 1.0, co prowadzi do generowania niepoprawnego XML-a. To może powodować, że zgodne parsery XML odrzucają dokumenty, co wpływa na systemy przetwarzania logów.

Apache Log4j Core w wersjach od 2.21.0 do 2.25.3 jest podatny na wstrzykiwanie logów za pomocą sekwencji CRLF z powodu nieudokumentowanych zmian nazw atrybutów konfiguracyjnych związanych z bezpieczeństwem. Dwie różne kwestie dotyczą użytkowników usług syslog opartych na strumieniach, którzy bezpośrednio konfigurowali Rfc5424Layout.

CouchCMS zawiera podatność na eskalację uprawnień, która umożliwia uwierzytelnionym użytkownikom na poziomie Admina tworzenie kont SuperAdmin poprzez manipulację parametrem f_k_levels_list w żądaniach tworzenia użytkownika. Atakujący mogą zmienić wartość parametru z 4 na 10 w treści żądania HTTP, aby ominąć walidację autoryzacji i uzyskać pełną kontrolę nad aplikacją.

W BMC Control-M/MFT w wersjach od 9.0.20 do 9.0.22 odkryto problem, który pozwala nieautoryzowanym użytkownikom uzyskać identyfikator API oraz odpowiadającą mu wartość sekretu. Ujawnione sekrety mogą być wykorzystane przez atakującego do wywoływania uprzywilejowanych operacji API.

W BMC Control-M/MFT w wersjach od 9.0.20 do 9.0.22 odkryto podatność na wstrzykiwanie SQL w interfejsie debugowania API MFT. Umożliwia ona uwierzytelnionemu atakującemu wstrzykiwanie złośliwych zapytań z powodu niewłaściwej walidacji danych wejściowych oraz niebezpiecznego przetwarzania dynamicznego SQL.

Funkcja disasm() w NASM zawiera przepełnienie bufora na stosie podczas formatowania wyjścia z deasemblacji, co pozwala atakującemu na wywołanie zapisu poza granicami bufora, gdy `slen` przekracza pojemność bufora.

Podatność w LiteLLM do 2026-04-08 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez przepisanie kodu bajtowego na ścieżce /guardrails/test_custom_code.

Podatność CVE-2026-33092 umożliwia lokalne podniesienie uprawnień z powodu niewłaściwego zarządzania zmiennymi środowiskowymi. Dotyczy to produktów Acronis True Image OEM (macOS) przed wersją 42571 oraz Acronis True Image (macOS) przed wersją 42902.

W podatności CVE-2025-5804 występuje nieprawidłowa kontrola nazw plików w instrukcjach include/require w programie PHP, co prowadzi do lokalnego włączenia plików. Problem dotyczy motywu Case Theme User w wersjach od n/a do poniżej 1.0.4.

Podatność CVE-2025-58920 dotyczy niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych w Zootemplate Cerato, co prowadzi do ataków typu Reflected XSS. Problem ten dotyczy wersji Cerato od n/a do 2.2.18 włącznie.

W podatności CVE-2025-58913 występuje niewłaściwe kontrolowanie nazw plików w instrukcjach include/require w programie PHP, co umożliwia lokalne włączenie pliku PHP w VideoPro. Problem dotyczy wersji VideoPro od n/a do 2.3.8.1 włącznie.

Podatność w Atom 3x Projector wynika z niewłaściwego udostępnienia usługi Android Debug Bridge (ADB) w lokalnej sieci bez uwierzytelnienia lub kontroli dostępu. Nieautoryzowany atakujący w tej samej sieci może wykorzystać tę podatność do uzyskania dostępu na poziomie roota, co prowadzi do całkowitego przejęcia docelowego urządzenia.

Podatność w Apache ActiveMQ umożliwia atak DoS poprzez wyczerpanie pamięci. Klient może szybko wywołać aktualizacje kluczy TLSv1.3, co prowadzi do wyczerpania pamięci w silniku SSL brokera.