Feynman-Hou

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.2 **Description** Existe uma injeção de variável de ambiente onde arquivos `.env` do workspace podem influenciar a seleção do runtime do Python durante a execução do `gcloud` na configuração do Gmail. Atacantes com acesso ao repositório podem manipular a variável `CLOUDSDK PYTHON` para executar a configuração por meio de caminhos locais do Python não pretendidos, potencialmente permitindo a execução de código arbitrário. Isso ocorre quando um arquivo `.env` de workspace em um repositório é aberto por um operador confiável. **Recommendations** Atualize para a versão 2026.5.2. Execute a configuração do Gmail a partir de workspaces confiáveis e limpe as substituições de env do workspace. Mantenha as allowlists de canais e ferramentas restritas. Evite compartilhar um Gateway entre usuários mutuamente não confiáveis. Desative o recurso afetado quando não for necessário.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.4.29 **Description** Um problema de path traversal existe no assistente de instalação, onde arquivos `.env` do workspace podem sobrescrever a configuração `npm execpath` usada para a instalação de dependências de tempo de execução integradas. Isso permite que um invasor com acesso ao workspace execute executáveis de gerenciadores de pacotes locais não pretendidos durante a configuração de dependências, potencialmente comprometendo o ambiente de compilação. **Recommendations** Atualize para a versão 2026.4.29. Instale dependências de tempo de execução integradas apenas de workspaces confiáveis. Mantenha as listas de permissões (allowlists) de canais e ferramentas restritas. Evite compartilhar um Gateway entre usuários mutuamente não confiáveis. Desative o recurso de assistente de instalação quando não for necessário.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.2 **Description** Existe uma injeção de variável de ambiente onde a variável `STATE DIRECTORY` em um arquivo `.env` do workspace pode influenciar as raízes de dependências de tempo de execução integradas. Isso permite que atacantes manipulem a `STATE DIRECTORY` para carregar dependências de tempo de execução de caminhos locais não pretendidos, o que pode levar à execução de código malicioso durante a resolução de dependências. Isso ocorre quando um operador confiável abre um repositório contendo um arquivo `.env` de workspace que define a variável antes do processo de resolução. **Recommendations** Atualize para a versão 2026.5.2. Evite abrir arquivos env de workspace não confiáveis antes da instalação de dependências de tempo de execução. Mantenha as listas de permissões (allowlists) de canais e ferramentas restritas. Evite compartilhar um Gateway entre usuários mutuamente não confiáveis. Desative o recurso afetado quando não for necessário.

**Nome do Software Vulnerável e Versões Afetadas** PJSIP versões anteriores a 2.17 **Description** Em builds GnuTLS, o transporte SIP TLS (sip transport tls) pode aceitar conexões com certificados inválidos ou não confiáveis. Isso ocorre mesmo quando a aplicação habilita explicitamente a verificação de certificado através das variáveis `verify server` ou `verify client` definidas como `PJ TRUE`. **Recommendations** Atualizar para a versão 2.17.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.4.23 **Descrição** O software armazena em cache segredos de rotas de webhook resolvidos e baseados em valores `SecretRef`. Esse comportamento permite que segredos obsoletos permaneçam válidos mesmo após terem sido rotacionados e recarregados. Consequentemente, um invasor que possua segredos de rotas de webhook anteriormente válidos pode continuar a autenticar solicitações e invocar fluxos de tarefas de webhook configurados até que o gateway ou o plugin seja reiniciado. **Recomendações** Atualize para a versão 2026.4.23 ou posterior. Como medida paliativa temporária, reinicie o gateway ou o plugin para limpar os segredos armazenados em cache.