Katalog podatności CVE

Pakiet @openclaw/voice-call openclaw przed 2026.8.1 uruchamia skonfigurowanego agenta dla klasycznych przychodzących połączeń głosowych bez propagowania tożsamości dzwoniącego lub statusu niebędącego właścicielem. W rezultacie filtrowanie narzędzi zastrzeżonych dla właściciela może zawieść otwarcie i ujawnić normalne uprawnienia narzędzi agenta zdalnemu dzwoniącemu. Dzwoniący dopuszczony przez skonfigurowaną politykę połączeń przychodzących (otwarta, parowanie lub lista dozwolonych) wdrożenia z włączonymi połączeniami przychodzącymi może zatem sterować narzędziami przeznaczonymi dla zaufanego właściciela, potencjalnie odczytując dane, modyfikując pliki, wykonując polecenia lub kontrolując podłączone usługi w zależności od konfiguracji agenta.

Przed wersją 2026.8.1 pakiet npm openclaw mógł zawierać deterministyczne hashe obliczone na podstawie oryginalnej, niezacenzurowanej konfiguracji w odpowiedziach z zacenzurowaną konfiguracją. Gdy hasło bramy miało niską entropię, a pozostałe wartości konfiguracji były możliwe do odtworzenia, hashe te działały jako offline'owe weryfikatory hasła: osoba mogąca uzyskać zacenzurowaną konfigurację (np. przez config.get) mogła testować kandydatów na hasło offline, bez ograniczeń prędkości ścieżki uwierzytelniania bramy. Odtworzenie hasła mogło przyznać udokumentowaną władzę operatora opartą na wspólnym sekrecie. Odniesienia do sekretów nie były dotknięte w ten sam sposób. Problem naprawiono w wersji 2026.8.1.

Integracja Matrix w OpenClaw (pakiet npm @openclaw/matrix) w wersjach >= 2026.2.2 i < 2026.8.1 zamienia na małe litery całe identyfikatory użytkowników Matrix — w tym historyczne localparty i wrażliwą na wielkość liter część nazwy serwera — podczas wyprowadzania tożsamości autoryzacyjnej OpenClaw. W rezultacie różne uwierzytelnione konta Matrix mogą być znormalizowane do tej samej tożsamości autoryzacyjnej. Uczestnik Matrix kontrolujący kolidujące identyfikator konta (identyfikator ważny protokołowo, różniący się od skonfigurowanego tylko znakami, które OpenClaw składa przez case/Unicode; dopasowanie nazwy wyświetlanej nie jest wymagane) może przejąć uprawnienia allowlist, poleceń właściciela, zatwierdzania exec lub zatwierdzania wtyczek skonfigurowane dla innego konta. Problem naprawiono w wersji 2026.8.1.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.4.5 i < 2026.8.1 może utracić ograniczenia pochodzącego żądającego i niezaufane pochodzenie, gdy tekst pochodzący z sesji jest zapisywany w pamięci sesji. W środowiskach, gdzie przechwytywanie pamięci sesji i 'dreaming' są włączone, ograniczony zewnętrzny nadawca, którego wiadomości są dopuszczane z ograniczonymi narzędziami, może zapisać instrukcje, które później są dostarczane do nieobsługiwanego agenta działającego w tle (dreaming) z szerszymi możliwościami plików i poleceń, co pozwala na działania wykraczające poza uprawnienia pierwotnej tury i wpływające na pliki, polecenia lub usługi dostępne dla tego agenta. Eksploatacja wymaga, aby treść została przechwycona, wybrana do późniejszego przetwarzania i podążona przez model. Problem naprawiono w wersji 2026.8.1.

@openclaw/whatsapp (npm) przed wersją 2026.8.1 udostępnia narzędzie logowania WhatsApp przez ogólną ścieżkę narzędzi kanału bez zachowania statusu właściciela pochodzącego nadawcy, więc granica narzędzia tylko dla właściciela nie jest egzekwowana. Dopuszczony nadawca niebędący właścicielem, który może sterować narzędziem, może zażądać wymuszonego logowania i otrzymać nowy kod QR dla skonfigurowanego konta, co powoduje rozłączenie konta WhatsApp bramy i utratę dostępności; pełne ponowne powiązanie konta wymaga dodatkowo, aby atakujący zeskanował zwrócony kod QR innym telefonem. Problem dotyczy granicy narzędzia tylko dla właściciela, a nie uwierzytelniania transportu WhatsApp. Naprawiono w wersji 2026.8.1.

OpenClaw przed wersją 2026.8.1 nie wiąże kontekstu katalogu roboczego z wielokrotnego użytku zatwierdzeniami exec, co pozwala zatwierdzonym poleceniom wykonywać się w różnych katalogach. Atakujący z zatwierdzeniem 'allow-always' może go ponownie wykorzystać do uruchomienia tego samego polecenia przeciwko nieprzejrzanym plikom lub repozytoriom, co daje znacząco różne skutki.

Laranode przed wersją 1.2.1 zawiera podatność na path traversal w punkcie końcowym POST /filemanager/upload-file, która pozwala uwierzytelnionym użytkownikom zapisywać pliki arbitralnie poza ich katalogiem domowym. Atakujący mogą dostarczyć sekwencje traversal w parametrze path, aby zapisać pliki PHP w katalogach WWW innych dzierżawców i wykonać kod jako ci dzierżawcy.

Ghidra w wersjach do 12.1.4 zawiera podatność na zapis poza zakresem na stosie w funkcji leftshift128 dekompilatora podczas przetwarzania ujemnych wartości przesunięcia z p-code. Atakujący mogą stworzyć złośliwe pliki binarne z określonymi sekwencjami instrukcji, które wyzwalają przepełnienie podczas dekompilacji, powodując uszkodzenie pamięci i potencjalnie osiągając wykonanie kodu.

Horilla to oprogramowanie HR i CRM. Przed wersją 2.0.0 funkcja HorillaListView.export_data w horilla_views/generic/cbv/views.py akceptuje parametr columns od uwierzytelnionego użytkownika, interpoluje go do dynamicznego kodu Pythona i przekazuje do exec(). Specjalnie spreparowany ciąg znaków może wstrzyknąć składnię Pythona do domyślnego argumentu, co pozwala na wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami procesu aplikacji, w tym root w oficjalnym obrazie Docker. Problem naprawiono w wersji 2.0.0.

Actual to lokalne narzędzie do finansów osobistych. Przed wersją 26.7.0 serwer synchronizacji Actual ma proxy CORS, które ma umożliwiać uwierzytelnionym użytkownikom pobieranie zasobów tylko z repozytoriów z oficjalnej listy dozwolonych wtyczek. Gdy skonfigurowano ACTUAL_GITHUB_TOKEN, proxy automatycznie dołącza token GitHub serwera do żądań GitHub. Sprawdzanie listy dozwolonych używa surowego testu prefiksu startsWith() dla /repos/{owner}/{repo} bez wymagania granicy ścieżki po nazwie repozytorium. Jeśli dozwolone repozytorium to https://github.com/acme/plugin, proxy akceptuje również adresy URL API GitHub, które są poza dozwolonym repozytorium, ale przechodzą, ponieważ ich ścieżka API zaczyna się od /repos/acme/plugin. Proxy przekazuje żądanie z tokenem ACTUAL_GITHUB_TOKEN, umożliwiając każdemu uwierzytelnionemu użytkownikowi Actual odczyt prywatnych zasobów GitHub dostępnych dla tego tokena. Wersja 26.7.0 naprawia problem.

InvoicePlane to samodzielnie hostowana aplikacja open source do zarządzania fakturami, klientami i płatnościami. Przed wersją 1.7.2 InvoicePlane nie odwołuje uprawnień administracyjnych po obniżeniu roli, ponieważ Admin_Controller ufa zrzutowi user_type przechowywanemu w istniejącej sesji zamiast ponownie weryfikować ip_users.user_type. Gdy jeden administrator obniża rolę innego konta, aktywna sesja obniżonego użytkownika nadal autoryzuje żądania administracyjne. Obniżony użytkownik może użyć Users::form() do ustawienia user_type z powrotem na 1, przywracając rolę w bazie danych i czyniąc eskalację uprawnień trwałą. Podatność naprawiono w wersji 1.7.2.

Horilla to oprogramowanie HR i CRM. Przed wersją 1.6.0 parametr search w /employee/employee-filter-view jest odzwierciedlany przez jQuery .html() w employee/templates/employee_nav.html bez neutralizacji HTML. Zewnętrzny atakujący może stworzyć i dostarczyć link, który powoduje wykonanie JavaScript, gdy uwierzytelniony pracownik lub administrator dotrze do filtra pracowników, umożliwiając dostęp do danych sesji widocznych w przeglądarce i działań z uprawnieniami ofiary. Problem naprawiono w wersji 1.6.0.

gitoxide gix-fs przed wersją 0.23.0 zawiera podatność polegającą na obejściu walidacji ścieżek w mechanizmie wymiany plików (worktree checkout), która pozwala atakującym na wydostanie się poza katalog worktree poprzez manipulację dowiązaniami symbolicznymi. Podczas wymuszonego checkout z włączoną opcją overwrite_existing, atakujący mogą stworzyć złośliwe drzewa repozytorium, w których wpisy dowiązań symbolicznych zastępują zwalidowane katalogi, powodując zapis kolejnych plików poza worktree przez dowiązanie, co umożliwia wykonanie kodu lub manipulację plikami.

Funkcja cleanup_xml_node() w parserze XML SOAP rekurencyjnie przetwarza każdy poziom zagnieżdżenia XML bez limitu głębokości. Nieuwierzytelniony atakujący może wysłać żądanie SOAP zawierające dziesiątki tysięcy zagnieżdżonych elementów do dowolnego punktu końcowego SoapServer, wyczerpując stos i powodując awarię procesu. Ta sama nieograniczona rekurencja istnieje w dekoderze wartości SOAP i w pomocniku wyszukiwania węzłów WSDL.

SCBE-AETHERMOORE to framework do zarządzania i oceny AI. Począwszy od wersji 4.0.2 do 4.2.1, serwer API AetherBrowser (scripts/aetherbrowser/api_server.py) udostępnia endpoint POST /api/ops/check-email bez żadnego uwierzytelnienia. Każdy zdalny atakujący może wywołać ten endpoint i wyzwolić wykonanie podprocesu email_reader.py, który łączy się ze skonfigurowanymi kontami ProtonMail lub Gmail przez IMAP i zwraca metadane e-maili (nadawca, temat, fragment treści) w odpowiedzi JSON. Serwer domyślnie wiąże się z 0.0.0.0:8100 z CORS ustawionym na allow_origins=["*"], co czyni go dostępnym z dowolnej sieci lub pochodzenia przeglądarki. Wersja 4.2.1 naprawia problem.

W systemie Windows API systemu plików i strumieni PHP nie odrzucają zastrzeżonych nazw urządzeń, takich jak CON, PRN, AUX, NUL, COM1 do COM9, LPT1 do LPT9, CONIN$ i CONOUT$, gdy występują jako składnik ścieżki. Nazwa pliku kontrolowana przez atakującego trafia do CreateFileW() i otwiera urządzenie zamiast oczekiwanego pliku regularnego.

Esri LERC to otwarty format obrazów lub rastrów, który obsługuje szybkie kodowanie i dekodowanie dla dowolnego typu pikseli. Podatność polegająca na zapisie poza zakresem na stercie przez przepełnienie liczby całkowitej w wersjach LERC 4.1.0 i wcześniejszych może pozwolić zdalnemu, nieuwierzytelnionemu atakującemu, który przekaże specjalnie spreparowane obrazy do aplikacji używającej LERC, na spowodowanie awarii aplikacji, prowadząc do odmowy usługi.

MediaFlow Proxy do wersji 2.4.9 zawiera podatność typu server-side request forgery (SSRF) w trasach /proxy z powodu brakującej i niepełnej walidacji adresu docelowego w parametrze zapytania d. Zdalny atakujący może podać dowolne wewnętrzne adresy URL, w tym pętle zwrotne i punkty końcowe metadanych chmury, aby odczytać pełne odpowiedzi z serwera proxy.

Zoraxy w wersjach od 3.2.3 do 3.3.4 nieprawidłowo parsuje adresy IPv6 w polu RemoteAddr podczas ustawiania nagłówków przekazywania. Nieuwierzytelniony atakujący łączący się przez IPv6 może podać dowolne wartości X-Forwarded-For, aby podszyć się pod źródłowy adres IP i obejść kontrolę dostępu opartą na adresach IP dostawcy autoryzacji.

GestSup w wersjach przed 3.2.62 zawiera podatność zdalnego wykonania kodu w obsłudze załączników podstawowego konektora IMAP, która nie pomija zablokowanych rozszerzeń plików. Nieuwierzytelniony atakujący może wysłać e-mail z załącznikiem PHP na monitorowaną skrzynkę, który zostanie zapisany w katalogu upload/ticket dostępnym z sieci i wykonany przy dostępie.