Lintsinghua

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22 Description Quando a configuração `trustedProxies` está ativa, o software processa incorretamente o cabeçalho X-Forwarded-For, permitindo potencialmente que invasores falsifiquem saltos de loopback. Isso pode contornar a autenticação e as proteções de limitação de taxa, apresentando cabeçalhos falsificados, efetivamente mascarando-se como um cliente de loopback. Recommendations Atualize para a versão 2026.3.22 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.3.13 **Description** Um problema de injeção de comando remoto existe no fluxo de preparação de anexos do iMessage. O problema ocorre quando a preparação de anexos remotos está habilitada e o software processa caminhos de anexos remotos contendo metacaracteres de shell. Esses caminhos não sanitizados são passados diretamente para o operando remoto do SCP sem validação, permitindo que um invasor execute comandos arbitrários em hosts remotos configurados. A vulnerabilidade está localizada no arquivo `src/auto-reply/reply/stage-sandbox-media.ts`, especificamente quando a variável `ctx.MediaRemoteHost` está definida e o sistema inicia o `/usr/bin/scp` usando o formato `<remoteHost>:<remotePath>`. **Recommendations** Atualize para a versão 2026.3.13 ou posterior. Como medida de mitigação temporária, desative a preparação de anexos remotos para evitar a execução de comandos através do fluxo afetado.

**Name of the Vulnerable Software and Affected Versions** OpenClaw versions prior to 2026.3.12 **Description** OpenClaw is susceptible to an authentication bypass issue in Feishu webhook mode. This occurs when only the `verificationToken` is configured, and the `encryptKey` is not. This allows unauthenticated attackers to inject forged Feishu events and potentially trigger the execution of downstream tools by reaching the webhook endpoint. The issue allows acceptance of forged events. **Recommendations** Versions prior to 2026.3.12 should be updated to version 2026.3.12 or later.

**Name of the Vulnerable Software and Affected Versions** OpenClaw versions prior to 2026.3.12 **Description** The software embeds long-lived shared gateway credentials directly within pairing setup codes. These codes are generated by the `/pair` API endpoint and the `OpenClaw qr` command. If setup codes are leaked through chat history, logs, or screenshots, attackers can recover and reuse the credentials outside the intended one-time pairing process. **Recommendations** Update to version 2026.3.12 or later.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.3.12 **Description** O OpenClaw descobre e carrega automaticamente plugins do diretório `.OpenClaw/extensions/` sem verificação explícita de confiança. Isso permite a execução de código arbitrário, pois invasores podem incluir plugins de espaço de trabalho manipulados em repositórios clonados. Quando um usuário executa o OpenClaw a partir de tal diretório, o código malicioso é executado sob a conta do usuário. Este problema ocorre porque a aplicação falha em verificar a integridade dos plugins carregados do caminho especificado. **Recommendations** Atualize para a versão 2026.3.12 ou posterior. Evite executar o OpenClaw dentro de repositórios não confiáveis em versões anteriores a 2026.3.12.