Katalog podatności CVE

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nieprawidłowo egzekwuje polityki narzędzi nadawcy podczas generowania nazw plików pamięci sesji. W dotkniętych wersjach generowanie nazw plików tworzyło wbudowany helper, który zachowywał narzędzia usunięte przez politykę nadawcy źródłowego.

OpenClaw Feishu przed wersją 2026.8.1 nie weryfikuje, czy skonfigurowane konto domyślne jest wyłączone, zanim wybierze je do operacji narzędzi modelu. Atakujący mogą wykorzystać konfiguracje z wieloma kontami, gdzie wyłączone konto domyślne zachowuje poświadczenia, aby czytać lub modyfikować zasoby Feishu przez odwołaną tożsamość.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje polityki toolsBySender nadawcy (globalnej lub per-agent) podczas obsługi wychodzących załączników. Nadawca, któremu jawnie odmówiono narzędzi do odczytu plików, może nadal spowodować odczyt znanego lokalnego pliku i zwrócenie go przez dyrektywę mediów w odpowiedzi końcowej lub załącznik wiadomości, ujawniając zawartość lokalnych plików.

Wersje OpenClaw przed 2026.8.1 nie weryfikują wszystkich pól źródłowych w załącznikach wiadomości strukturalnych, co pozwala atakującym ukryć niezweryfikowane ścieżki hosta za dozwolonymi źródłami załączników. Atakujący mogą wykorzystać wiele pól źródłowych, aby ominąć walidację ścieżek sandboxa i spowodować, że dostarczanie przez Telegram odczyta i wyśle znane pliki hosta, które w przeciwnym razie zostałyby odrzucone.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na path traversal w funkcji tools.fs.workspaceOnly, gdzie fallback nazw plików Unicode może normalizować zwalidowane komponenty katalogów nadrzędnych. Dopuszczeni requesterzy mogą wykorzystać kanonicznie równoważne katalogi siostrzane, aby czytać pliki poza skonfigurowanym obszarem roboczym.

Pakiet npm @openclaw/slack przed wersją 2026.8.1 zawiera wadę autoryzacji w handlerze pobierania plików Slack: gdy plik nie ma metadanych udostępniania, które potwierdzają przynależność do żądanej konwersacji, kontrola autoryzacji konwersacji zawodzi w trybie otwartym. Uwierzytelniony wywołujący ograniczony do jednej konwersacji, znając lub uzyskując identyfikator pliku, może pobrać zawartość plików spoza zakresu tej konwersacji, ujawniając dane między skonfigurowanymi granicami konwersacji.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na rozszerzenie zakresu autoryzacji w zatwierdzeniach typu allow-always w transferze plików, co pozwala atakującym na ponowne wykorzystanie stałych zgód dla nieprzejrzanych ścieżek. Atakujący mogą wykorzystać interpretację metaznaków glob i ponowne użycie nazw wyświetlanych węzłów, aby uzyskać dostęp do ścieżek siostrzanych lub różnych węzłów poza pierwotnym zakresem zgody operatora.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 mógł wysyłać poświadczenia dostawców zewnętrznych do niewłaściwego punktu końcowego. W dotkniętych wersjach, gdy dostawca zewnętrzny używa API zgodnego z OpenAI, a rozpoznane metadane modelu nie zawierają konkretnego adresu URL bazowego, przypięta sesja kontynuowana po gorącym przeładowaniu konfiguracji modelu zachowuje poświadczenia tego dostawcy, podczas gdy SDK OpenAI wybiera własny domyślny punkt końcowy. Wynikowe żądanie może ujawnić poświadczenia skonfigurowanego dostawcy zewnętrznego niepowiązanemu punktowi końcowemu i zakończyć się mylącym błędem uwierzytelniania.

OpenClaw przed wersją 2026.8.2 zawiera podatność na denial of service w relayu rozszerzenia przeglądarki, która pozwala nieuwierzytelnionym źródłom sieciowym wyczerpać pojemność oczekujących uwierzytelnień. Atakujący mogą zająć wszystkie oczekujące sloty, utrzymując ciche ulepszenia WebSocket, uniemożliwiając sparowanym rozszerzeniom ukończenie uwierzytelniania Browser Relay Authentication v2.

Integracja Discord OpenClaw (pakiet npm @openclaw/discord) przed wersją 2026.9.3 mogła utracić politykę mediów związaną z nadawcą w akcjach przesyłania emoji i naklejek przed załadowaniem lokalnego pliku. Nadawca uprawniony do wywołania tych akcji mógł spowodować, że OpenClaw odczyta ścieżkę hosta, którą skonfigurowane katalogi mediów tego samego nadawcy w przeciwnym razie odrzuciłyby, umieszczając bajty z pliku lokalnego spoza polityki w wychodzącym przesyłaniu emoji lub naklejki.

Wtyczka diagnostyczna OpenClaw Prometheus (@openclaw/diagnostics-prometheus) przed wersją 2026.9.3 nie egzekwuje zakresu operator.read na swoim uwierzytelnionym punkcie końcowym metryk. W środowiskach korzystających z trybu uwierzytelniania Gateway z tożsamością, takim jak trusted-proxy, wywołujący, którego efektywna rola nie ma zakresu odczytu, może pobrać dokument diagnostyczny, nawet jeśli zwykłe metody odczytu odrzucają tę samą tożsamość, ujawniając metryki operacyjne uwierzytelnionemu profilowi celowo ograniczonemu poniżej dostępu do odczytu.

Cotonti do wersji 1.0.0 zawiera podatność na cross-site request forgery (CSRF) w menedżerze rozszerzeń, która pozwala atakującym na wykonywanie akcji zmieniających stan bez walidacji tokenu anty-CSRF. Atakujący mogą tworzyć linki lub osadzać obrazy, aby zmusić administratorów do instalowania, aktualizowania, wstrzymywania lub wznowienia rozszerzeń, nakłaniając ich do odwiedzenia złośliwej strony podczas zalogowania.

Cotonti do wersji 1.0.0 zawiera podatność na otwarte przekierowanie w pliku message.php, która dekoduje parametr redirect za pomocą base64 bez walidacji domeny. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z zakodowanymi zewnętrznymi adresami URL, aby przekierować użytkowników na dowolne strony za pomocą meta refresh, co może być wykorzystane do ataków phishingowych.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w pliku message.php, gdzie parametr lng nie jest odpowiednio escapowany przed wyjściem w oknie potwierdzenia. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z payloadami skryptów w parametrze lng, aby wykonać dowolny JavaScript w sesji przeglądarki ofiary.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w parametrze highlight wtyczki wyszukiwania, który nie wykonuje żadnego escapowania HTML ani JavaScript. Atakujący mogą tworzyć złośliwe linki z wstrzykniętym JavaScriptem w parametrze highlight, który wykonuje się w przeglądarce każdego odwiedzającego, który otworzy link, w tym administratorów.

Ghidra w wersjach od 9.2 do 12.1.4 zawiera podatność polegającą na odczycie poza zakresem sterty w funkcji StringManager::getCodepoint podczas dekodowania wielobajtowych znaków UTF-8, UTF-16 lub UTF-32 bez sprawdzania pozostałej długości bufora. Atakujący może przygotować złośliwe pliki binarne zawierające ciągi znaków lub stałe bajtowe kończące się wielobajtowymi jednostkami wiodącymi, co powoduje odczyt poza zakresem, awarię dekompilatora lub wyciek sąsiedniej pamięci sterty do zdekompilowanego wyniku.

Horilla przed wersją 2.0.0 zawiera podatność CSRF w punkcie końcowym /attendance/approve-validate-attendance-request/, gdzie zmiany stanu wniosku są wykonywane przez żądanie GET przed zapisem, przez co Django nie wymaga walidacji CSRF. Nieuwierzytelniony atakujący może nakłonić zalogowanego menedżera do wysłania żądania, które po cichu zatwierdza obecność z uprawnieniami ofiary i przypisuje jej zatwierdzenie w dzienniku audytu.

Filtry strumieniowe convert.base64-encode, convert.quoted-printable-encode i convert.quoted-printable-decode akceptują opcję line-break-chars, której długość jest śledzona oddzielnie od samego ciągu. Konstruktory filtrów duplikują wartość za pomocą pestrdup(), które zatrzymuje się na pierwszym bajcie NUL, zachowując oryginalną długość. Gdy filtr później emituje znak nowej linii, kopiuje zarejestrowaną długość z niepełnej alokacji, czytając poza jej końcem i umieszczając sąsiednie bajty sterty w wyjściu filtra.

Gałąź IPv6 w kontroli dostępu klienta FastCGI porównuje tylko pierwsze 12 bajtów z 16-bajtowego adresu IPv6, więc listen.allowed_clients dopasowuje prefiks /96 zamiast dokładnego adresu. Atakujący, który może użyć adresu źródłowego dzielącego pierwsze 96 bitów z dozwolonym adresem, przechodzi kontrolę i dociera do punktu końcowego FastCGI.

Horilla od wersji 1.0.0 do 1.6.0 i 2.0.0 zawiera podatność w handlerach get_mail_preview w recruitment/views/actions.py i employee/not_in_out_dashboard.py, które renderują kontrolowane przez użytkownika treści z pełnym obiektem żądania w kontekście szablonu Django. Uwierzytelniony użytkownik z ważnym tokenem CSRF może użyć trawersji atrybutów szablonu, aby odczytać request.user.password, request.META i powiązane atrybuty, ujawniając hashe haseł, dane osobowe i metadane żądań serwera.