Katalog podatności CVE

Wykryto podatność w D-Link DCS-935L w wersji 1.10.01, która dotyczy funkcji snprintf w pliku /web/cgi-bin/greece/rhea komponentu HTTP Handler. Manipulacja danymi argumentu prowadzi do wykorzystania formatu łańcucha.

W Koha Community Koha występuje podatność na SQL Injection w pliku reports/catalogue_out.pl, która pozwala uwierzytelnionemu użytkownikowi z włączonym modułem Raporty na odczytanie dowolnych danych z bazy danych aplikacji Koha. Problem występuje w wersjach do 22.11.37, 23.x, 24.x przed 24.11.16, 25.05.x przed 25.05.11, 25.11.x przed 25.11.05, 26.05.x przed 26.05.01 oraz 26.11.x przed 26.11.00.

Wtyczka Bookly do WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ciasteczko 'bookly-customer-full-name' w wersjach do 27.2 włącznie, z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki danych wyjściowych. Atakujący mogą wstrzykiwać dowolne skrypty webowe, które będą wykonywane, gdy użytkownik uzyska dostęp do zainfekowanej strony.

Wtyczka GPTranslate – Multilingual AI Translation dla WordPress jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez REST API Translation Storage w wersjach do 2.31 włącznie, z powodu niewystarczającej sanitizacji wejścia i ucieczki wyjścia. Umożliwia to nieautoryzowanym atakującym wstrzykiwanie dowolnych skryptów webowych na stronach, które będą wykonywane przy każdym dostępie użytkownika do zainfekowanej strony.

W operatorze Grafana wykryto podatność na przejście ścieżki i eskalację uprawnień. Umożliwia ona złośliwemu użytkownikowi, który może tworzyć zasoby Dashboard lub LibraryPanel, uzyskanie tokena konta usługowego Kubernetes menedżera operatora.

W skryptach obsługi zdarzeń post-create w bibliotece libreport (ABRT) wykryto podatność na podążanie za dowiązaniami symbolicznymi. Skrypty zapisują pliki wyjściowe za pomocą przekierowań powłoki bez flagi O_NOFOLLOW, co pozwala atakującemu na nadpisanie dowolnych plików w systemie poprzez podmianę pliku docelowego na dowiązanie symboliczne.

W usłudze D-Bus abrt-dbus wykryto warunek wyścigu w metodzie ChownProblemDir. Metoda otwiera katalog zrzutów z uprawnieniami tylko do odczytu i zmienia właściciela plików na UID wywołującego, nawet gdy programy obsługi zdarzeń po utworzeniu trzymają blokadę zapisu.

W usłudze D-Bus abrt-dbus w metodzie SetElement wykryto warunek wyścigu TOCTOU. Między utworzeniem katalogu zrzutu a wykonaniem zdarzenia po utworzeniu każdy lokalny użytkownik może wywołać SetElement, aby zapisać dowolne pliki tekstowe do katalogu zrzutu należącego do roota, omijając walidację pakietów i umożliwiając przetrwanie awarii niepakowanych binariów po przetworzeniu po utworzeniu.

W silniku Avira Antivirus występuje podatność na zapis poza granicami bufora w stercie podczas skanowania źle sformatowanego archiwum POSIX tar, co może umożliwić lokalne wykonanie kodu lub spowodować awarię procesu silnika antywirusowego.

W Avira Password Manager występuje podatność na ujawnienie informacji, która może pozwolić zdalnemu atakującemu na uzyskanie danych logowania automatycznie uzupełnionych na stronie głównej poprzez błędny wybór pola autofill w kontekście cross-origin iframe.

W podatności CVE-2025-9033 występuje błąd odczytu bufora w sterowniku Avira Antivirus, który może wystąpić podczas skanowania źle sformatowanego pliku PDF. Może to prowadzić do lokalnego wykonania kodu lub awarii procesu silnika antywirusowego.

W silniku Avira Antivirus występuje podatność na odczyt bufora poza granicami, która może wystąpić podczas skanowania źle sformatowanego pliku PE systemu Windows. Może to prowadzić do lokalnego wykonania kodu lub awarii procesu silnika antywirusowego.

Podatność w silniku Avira Antivirus pozwala na zapis poza granicami bufora w wyniku przepełnienia całkowitego, co może prowadzić do lokalnego wykonania kodu lub awarii procesu silnika antywirusowego podczas skanowania uszkodzonego pliku wykonywalnego MS-DOS.

Podatność w Capgo przed wersją 12.128.2 umożliwia atakującym rejestrację kont przy użyciu dowolnych adresów e-mail bez weryfikacji, a następnie inicjowanie usunięcia, co blokuje te adresy w stanie oczekiwania na usunięcie. Atakujący mogą trwale zablokować legalnym użytkownikom dostęp do platformy na 30 dni, wykorzystując niezweryfikowaną własność adresu e-mail w operacjach cyklu życia konta.

OpenClaw przed wersją 2026.5.12 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń w obsłudze zakodowanych poleceń PowerShell. Atakujący mogą wykorzystać skrócone aliasy flag, które nie są rozpoznawane przez parser listy dozwolonych poleceń, aby wykonać dowolne treści PowerShell.

Podatność w OpenClaw przed wersją 2026.4.27 umożliwia ominięcie autoryzacji w komendach slash QQBot przed ich wysłaniem. Uwierzytelnieni nadawcy mogą pominąć sprawdzanie polityki allowFrom, co pozwala na wywołanie komend przed zastosowaniem skonfigurowanych reguł kontroli dostępu.

OpenClaw przed wersją 2026.4.29 zawiera lukę w autoryzacji w komendzie strumieniowej QQBot, która pozwala uwierzytelnionym nadawcom na modyfikację konfiguracji bez wyraźnych ograniczeń allowFrom. Atakujący mogą zmieniać konfigurację strumienia QQBot w sposób niezgodny z polityką administracyjną.

OpenClaw przed wersją 2026.5.18 zawiera podatność na walidację nagłówka tożsamości, która pozwala lokalnym wywołującym na tym samym hoście na fałszowanie nagłówków tożsamości zaufanego proxy. Atakujący mający dostęp do portu bramy skierowanego na proxy mogą dostarczać sfałszowane nagłówki tożsamości, aby przyjąć tożsamość operatora i potencjalnie eskalować uprawnienia.

OpenClaw przed wersją 2026.5.18 zawiera podatność w egzekwowaniu polityki w walidacji listy dozwolonych poleceń safe-bin, co pozwala na rozszerzenie powłoki i modyfikację interpretacji poleceń na węzłach POSIX. Uwierzytelnieni operatorzy mogą wykorzystać metaznaki powłoki w zatwierdzonych poleceniach, aby odczytać niezamierzone pliki lokalne węzła i ujawnić wrażliwe dane konfiguracyjne.