Katalog podatności CVE

W Google Chrome na systemie Windows przed wersją 149.0.7827.115 wystąpiła podatność typu use after free w module wideo, która mogła pozwolić zdalnemu atakującemu na wykonanie ucieczki z piaskownicy poprzez spreparowaną stronę HTML.

Wykorzystanie po zwolnieniu pamięci w GPU w Google Chrome na Androidzie przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

W Google Chrome na Mac przed wersją 149.0.7827.115 wystąpiła podatność typu use after free w GPU, która mogła pozwolić zdalnemu atakującemu, który przejął proces renderera, na potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

W Google Chrome na Mac przed wersją 149.0.7827.115 wystąpił wyścig warunków w funkcji Safe Browsing, który mógł pozwolić zdalnemu atakującemu, mającemu kontrolę nad procesem renderowania, na potencjalne wykonanie ucieczki z piaskownicy za pomocą złośliwego pliku.

W Google Chrome na Mac przed wersją 149.0.7827.115 występuje podatność typu use after free w funkcji Autofill, która może być wykorzystana przez zdalnego atakującego do potencjalnego uszkodzenia pamięci heap poprzez spreparowaną stronę HTML.

Przepełnienie bufora w sterownikach w Google Chrome na systemach Linux i ChromeOS przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

Nieodpowiednia implementacja w Mojo w Google Chrome na systemie Windows przed wersją 149.0.7827.115 umożliwiła lokalnemu atakującemu eskalację uprawnień na poziomie systemu operacyjnego za pomocą złośliwego pliku.

Nieodpowiednia implementacja w DevTools w Google Chrome przed wersją 149.0.7827.115 umożliwiała zdalnemu atakującemu, który przejął proces renderera, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

W Google Chrome przed wersją 149.0.7827.115 występuje podatność typu use after free w komponencie Cast, która może pozwolić atakującemu w lokalnej sieci na potencjalne wykonanie ucieczki z piaskownicy za pomocą złośliwego ruchu sieciowego.

W Google Chrome przed wersją 149.0.7827.115 wystąpiła podatność typu use after free w module sieciowym, która mogła zostać wykorzystana przez atakującego w uprzywilejowanej pozycji sieciowej do potencjalnego zniszczenia pamięci sterty za pomocą złośliwego ruchu sieciowego.

W Google Chrome na systemie Windows przed wersją 149.0.7827.115 wystąpiła podatność typu use after free w WebMIDI, która pozwalała zdalnemu atakującemu, który przejął proces renderera, na potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

Przepełnienie bufora w sterowniku GPU w Google Chrome na Androidzie przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

Niewystarczająca walidacja nieufnych danych wejściowych w funkcji dostępności w Google Chrome na Mac przed wersją 149.0.7827.115 umożliwiła zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

Wykorzystanie po zwolnieniu pamięci w DigitalCredentials w Google Chrome przed wersją 149.0.7827.115 umożliwia zdalnemu atakującemu, który przejął proces renderowania, potencjalne wykonanie ucieczki z piaskownicy za pomocą spreparowanej strony HTML.

W Google Chrome na systemie Windows przed wersją 149.0.7827.115 występuje podatność typu use after free w module Core, która pozwala zdalnemu atakującemu na wykonanie dowolnego kodu poprzez spreparowaną stronę HTML.

OpenClaw przed wersją 2026.5.27 zawiera podatność na wykonanie dowolnego kodu w procesie instalacji umiejętności, gdzie pliki .env w przestrzeni roboczej mogą nadpisywać wybór wykonywalnego pliku Homebrew. Atakujący z dostępem do zaufanych przestrzeni roboczych operatorów mogą uruchomić niezamierzone wykonywalne pliki kompatybilne z Homebrew podczas konfiguracji umiejętności, co może prowadzić do kompromitacji systemu.

OpenClaw przed wersją 2026.5.22 zawiera podatność na walidację lokalności w parowaniu interfejsu użytkownika, która pozwala atakującym z dostępem do sieci na fałszowanie informacji o lokalności i uzyskanie trwałych tokenów urządzeń z uprawnieniami administratora.

OpenClaw przed wersją 2026.5.18 zawiera lukę w walidacji pochodzenia w obsłudze zdarzeń węzłów, która pozwala sparowanym węzłom na fałszowanie zdarzeń cyklu życia exec bez autoryzacji system.run. Złośliwy lub skompromitowany sparowany węzeł może wysyłać spreparowane wiadomości node.event do bramy.

OpenClaw w wersjach przed 2026.5.20 zawiera podatność na eskalację uprawnień, w której agenci wywoływani przez hooki otrzymują niewłaściwe uprawnienia. Atakujący z ważnym tokenem hooka mogą wykorzystać punkt końcowy /hooks/agent, aby uzyskać dostęp do narzędzi MCP przeznaczonych tylko dla właściciela.

OpenClaw przed wersją 2026.4.25 zawiera podatność na przejście ścieżki w ładowaniu artefaktów memory-core, gdzie stan przestrzeni roboczej wpływa na rozwiązywanie lokalnych ścieżek pakietów. Atakujący z dostępem do podatnych przestrzeni roboczych mogą ładować artefakty memory-core z niezamierzonych lokalizacji, co może prowadzić do wykonania złośliwego kodu lub uzyskania dostępu do wrażliwych danych.