Katalog podatności CVE

OpenClaw w wersjach od 2026.2.6 do 2026.3.24 ma podatność typu path traversal w funkcji resolveUploadInput rozszerzenia Feishu, która omija ograniczenia piaskownicy systemu plików.

OpenClaw w wersjach od 2026.2.19 do 2026.3.30 ma niewłaściwą izolację pamięci podręcznej w mechanizmie deduplikacji webhooków Zalo. Atakujący kontrolujący jeden uwierzytelniony webhook może tłumić zdarzenia na innych kontach poprzez dopasowanie parametrów event_name i message_id.

W Spring Boot, gdy aplikacja używa ApplicationPidFileWriter, lokalny atakujący z prawem zapisu do lokalizacji pliku PID może uszkodzić jeden plik na hoście przy każdym uruchomieniu aplikacji. Dotyczy to wersji 4.0.0-4.0.5, 3.5.0-3.5.13, 3.4.0-3.4.15, 3.3.0-3.3.18, 2.7.0-2.7.32.

W Spring Boot wartości generowane przez ${random.value} nie nadają się do użycia jako sekrety. ${random.uuid} nie jest podatny, ale ${random.int} i ${random.long} mają przewidywalny zakres. Podatne wersje: 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18, 2.7.0–2.7.32.

Autokonfiguracja SSL dla Cassandra w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas nawiązywania połączenia SSL. Dotyczy to wielu wersji Spring Boot, w tym 4.0.0–4.0.5, 3.5.0–3.5.13, 3.4.0–3.4.15, 3.3.0–3.3.18 oraz 2.7.0–2.7.32.

Podatność w aligungr UERANSIM do wersji 3.2.7. Funkcja rls::DecodeRlsMessage w bibliotece src/lib/rls/rls_pdu.cpp komponentu Radio Link Simulation Layer powoduje nieobsłużony wyjątek przy manipulacji argumentem pduLength. Atak może być przeprowadzony zdalnie. Poprawka dostępna w wersji 3.2.8.

W OSPG binwalk do wersji 2.4.3 wykryto podatność w funkcji read_null_terminated_string w pliku src/binwalk/plugins/winceextract.py komponentu WinCE Extraction Plugin. Manipulacja argumentem self.file_name prowadzi do path traversal. Atak może być przeprowadzony tylko lokalnie. Exploit został ujawniony publicznie. Opiekun projektu potwierdza podatność, ale informuje, że projekt osiągnął koniec życia (EOL) i zaleca migrację do binwalk v3.

W przypadku korzystania z pakietu SSL, automatyczna konfiguracja RabbitMQ w Spring Boot nie przeprowadza weryfikacji nazwy hosta podczas łączenia się z brokerem RabbitMQ. Podatność dotyczy Spring Boot 4.0.0–4.0.5 (poprawka w 4.0.6) oraz 3.5.0–3.5.13 (poprawka w 3.5.14).

W dh1011 auto-favicon do wersji f189116a9259950c2393f114dbcb94dde0ad864b wykryto lukę w funkcji generate_favicon_from_url w pliku src/auto_favicon/server.py komponentu MCP Tool. Manipulacja argumentem image_url prowadzi do fałszowania żądań po stronie serwera (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.

W CodeAstro Online Classroom 1.0 wykryto podatność w nieznanej części pliku /addnewfaculty. Manipulacja argumentem fname prowadzi do wstrzyknięcia SQL, a atak można przeprowadzić zdalnie. Exploit został publicznie ujawniony i może być wykorzystany.

Podczas konfiguracji z użyciem SSL bundle autokonfiguracja Elasticsearch w Spring Boot nie wykonuje weryfikacji nazwy hosta przy połączeniu z serwerem Elasticsearch. Dotyczy Spring Boot 4.0.0–4.0.5; zalecana aktualizacja do 4.0.6 lub nowszej zgodnie z biuletynem dostawcy.

Dell Alienware Command Center (AWCC) w wersjach przed 6.13.8.0 zawiera podatność naruszenia zasady najmniejszych uprawnień. Użytkownik z niskimi uprawnieniami mający dostęp lokalny może wykorzystać tę podatność do podniesienia uprawnień.

W mettle sendportal do wersji 3.0.1 funkcja destroy w pliku app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php (komponent Invitation Handler) pozwala obejść autoryzację poprzez manipulację argumentem invitation. Atak można zainicjować zdalnie, a projekt nie odpowiedział jeszcze na zgłoszenie problemu.

W 1000 Projects Portfolio Management System MCA 1.0 wykryto lukę w nieznanej funkcji pliku update_passwd_process.php. Manipulacja argumentem temp_user prowadzi do obejścia autoryzacji. Atak można przeprowadzić zdalnie, a exploit został publicznie ujawniony i może być wykorzystywany.

W 1000 Projects Portfolio Management System MCA do wersji 1.0 manipulacja argumentem q w pliku /admin/block_status.php prowadzi do wstrzyknięcia SQL. Atak można zainicjować zdalnie, a exploit jest publicznie dostępny i może zostać wykorzystany.

W jądrze Linux sterownik igb wywołuje napi_synchronize() w igb_down() przed napi_disable(). Gdy aplikacja AF_XDP zero-copy zakończy się nagle, NAPI_STATE_SCHED nigdy się nie czyści, więc napi_synchronize() blokuje się na zawsze, powodując zawieszenie igb_down() i trwałe zatrzymanie kolejki TX.

Dell Alienware Command Center (AWCC) w wersjach przed 6.13.8.0 zawiera podatność typu Execution with Unnecessary Privileges. Atakujący z niskimi uprawnieniami i lokalnym dostępem może wykorzystać tę lukę do eskalacji uprawnień.

Podatność znaleziona w vLLM do wersji 0.19.0. Dotyczy funkcji has_mamba_layers w pliku vllm/v1/kv_cache_interface.py komponentu KV Block Handler. Manipulacja prowadzi do użycia niezainicjalizowanego zasobu. Atak może być przeprowadzony zdalnie, ale ma wysoką złożoność i jest trudny do wykorzystania. Exploit został opublikowany, ale istnienie podatności jest kwestionowane. Proponowana poprawka nie rozwiązała problemu. Strona trzecia wyjaśnia, że rozbieżność może wynikać z normalnego zachowania vLLM, gdzie serwer grupuje równoczesne żądania, co prowadzi do różnych kształtów wejścia. Istnieje zmienna środowiskowa VLLM_BATCH_INVARIANT=1 dla użytkowników pragnących deterministycznego wyniku przy temperaturze 0.0.

W aplikacji diskover-community w wersji 2.3.5 i wcześniejszych wykryto podatność na odbity atak XSS. Luka występuje w pliku public/selectindices.php poprzez parametr namecontains.

W aplikacji diskover-community w wersji 2.3.5 i wcześniejszych odkryto podatność na odbity atak XSS. Atakujący może wstrzyknąć złośliwy kod JavaScript poprzez parametr doctype w pliku public/view.php.