CVE Vulnerability Catalog

MikroORM, a TypeScript ORM for Node.js, has a SQL injection vulnerability in versions before 6.6.10 and 7.0.6. Specially crafted objects are interpreted as raw SQL query fragments.

An arbitrary file overwrite vulnerability in MaruNuri LLC v2.0.23 allows attackers to overwrite critical internal files via the file import process, leading to arbitrary code execution or information exposure.

An arbitrary file overwrite vulnerability in DeftPDF Document Translator v54.0 allows attackers to overwrite critical internal files via the file import process, leading to arbitrary code execution or information exposure.

Parse Server prior to versions 8.6.67 and 9.7.0-alpha.11 has a vulnerability where an attacker can bypass Cloud Function validator access controls by appending "prototype.constructor" to the function name in the URL. This causes all access control enforcement to be skipped, allowing unauthenticated callers to invoke protected Cloud Functions.

FastGPT before version 4.14.9.5 exposes the /api/core/app/httpTools/runTool endpoint without authentication. It acts as a full HTTP proxy, allowing attackers to make arbitrary HTTP requests from the server.

OpenClaw before version 2026.3.28 contains a privilege escalation vulnerability in the /pair approve command path that fails to forward caller scopes into the core approval check. A caller with pairing privileges but without admin privileges can approve pending device requests asking for broader scopes including admin access by exploiting the missing scope validation in extensions/device-pair/index.ts and src/infra/device-pairing.ts.

Moduł automatycznej akceptacji poleceń w Ridvay Code zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, co czyni mechanizm białej listy całkowicie nieskutecznym. Wykorzystuje on słabe wyrażenia regularne do analizy struktur poleceń, co pozwala atakującemu na wstrzyknięcie złośliwego kodu.

Moduł automatycznej akceptacji poleceń DSAI-Cline zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, która całkowicie unieważnia mechanizm bezpieczeństwa oparty na białej liście. System nieprawidłowo przetwarza znaki nowej linii, co pozwala atakującemu na wstrzyknięcie złośliwego kodu w ramach dozwolonego polecenia.

Moduł automatycznej akceptacji poleceń Ridvay Code zawiera krytyczną podatność na wstrzykiwanie poleceń systemowych, co czyni jego mechanizm białej listy całkowicie nieskutecznym. System opiera się na kruchych wyrażeniach regularnych do analizy struktur poleceń, co prowadzi do błędnej identyfikacji niebezpiecznych operacji.

NocoBase prior to version 2.0.28 contains a vulnerability in the Workflow Script Node that allows an authenticated attacker to escape the Node.js vm sandbox and achieve Remote Code Execution as root via prototype chain traversal using console._stdout and console._stderr.

Podatność CVE-2026-30310 dotyczy systemu automatycznego wykonywania poleceń terminalowych w aplikacji Sixth, który oferuje dwie opcje: wykonywanie bezpiecznych poleceń oraz wszystkich poleceń. Atakujący może wykorzystać atak typu prompt injection, aby oszukać model i sklasyfikować złośliwe polecenie jako 'bezpieczne', co pozwala na jego wykonanie bez zgody użytkownika.

OpenClaw przed wersją 2026.3.13 zawiera podatność na zdalne wstrzykiwanie poleceń w procesie przygotowywania załączników iMessage, co pozwala atakującym na wykonywanie dowolnych poleceń na skonfigurowanych zdalnych hostach. Problem wynika z braku walidacji nieoczyszczonych ścieżek załączników zdalnych zawierających metaznaki powłoki.

Wersje OpenClaw 2026.3.7 przed 2026.3.11 zawierają podatność na obejście autoryzacji, która pozwala na wykonywanie metod bramy przez klienta syntetycznego z szerokimi uprawnieniami administracyjnymi. Zdalne, nieautoryzowane żądania do tras należących do wtyczek mogą wywoływać metody runtime.subagent, co umożliwia wykonywanie uprzywilejowanych działań bramy, w tym usuwanie sesji i uruchamianie agentów.

Wersje Business::OnlinePayment::StoredTransaction do 0.01 dla Perla wykorzystują niebezpieczny klucz tajny. Klucz ten jest generowany przy użyciu hasha MD5 z pojedynczego wywołania wbudowanej funkcji rand, co jest niewłaściwe do zastosowań kryptograficznych.

There is an SQL injection (SQLi) vulnerability in the Umami Software web application due to an improperly sanitized parameter. This allows an authenticated attacker to execute arbitrary SQL commands in the database by manipulating the 'timezone' request parameter.

Ruby LSP to implementacja protokołu serwera językowego dla Ruby. Przed wersjami Shopify.ruby-lsp 0.10.2 i ruby-lsp 0.26.9, ustawienie rubyLsp.branch w VS Code było interpolowane bez sanitizacji do generowanego Gemfile, co umożliwiało wykonanie dowolnego kodu Ruby, gdy użytkownik otworzył projekt zawierający złośliwy plik .vscode/settings.json.

Projekt act umożliwia lokalne uruchamianie akcji GitHub. W wersjach przed 0.2.86, act bezwarunkowo przetwarzał przestarzałe komendy ::set-env:: i ::add-path::, co stwarzało ryzyko wstrzykiwania danych do środowiska.

SciTokens to biblioteka referencyjna do generowania i używania SciTokens. W wersjach przed 1.9.6 klasa KeyCache była podatna na atak SQL Injection z powodu użycia metody str.format() Pythona do konstruowania zapytań SQL z danymi dostarczonymi przez użytkownika.

Wtyczka Everest Forms Pro dla WordPressa jest podatna na zdalne wykonanie kodu poprzez wstrzyknięcie kodu PHP we wszystkich wersjach do i włącznie z 1.9.12. Problem wynika z funkcji process_filter() dodatku Calculation, która łączy wartości pól formularza przesyłane przez użytkowników w ciąg kodu PHP bez odpowiedniego zabezpieczenia przed wstrzyknięciem.

baserCMS to framework do tworzenia stron internetowych. Przed wersją 5.2.3 występowała podatność na wstrzyknięcie poleceń systemowych w instalatorze, która została załatana w wersji 5.2.3.