Philip

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.7 **Descrição** O recurso `allowFrom` valida incorretamente a identidade da conta do Discord ao usar nomes de exibição mutáveis em vez de IDs de usuário imutáveis. Isso permite que um invasor altere seus metadados de nome de exibição ou nome global para corresponder a uma entrada de política, potencialmente obtendo acesso de agente não autorizado destinado a uma identidade do Discord diferente. Este problema é específico ao recurso e configuração mencionados e não afeta o modelo de operador confiável em relação a operadores de Gateway autenticados, plugins instalados ou superfícies de execução local. **Recomendações** Atualize para a versão 2026.5.7. Use IDs de usuário estáveis do Discord em listas de permissões (allowlists). Mantenha as listas de permissões de canais e ferramentas restritas. Evite compartilhar um único Gateway entre usuários mutuamente não confiáveis. Desative o recurso `allowFrom` quando não for necessário.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.3 **Description** Existe um problema de aplicação de política onde contatos do Zalo com metadados de exibição mutáveis podem corresponder a entradas de política `allowFrom` ao alterar seus nomes de exibição. Isso permite que atacantes com nomes de exibição mutáveis recebam respostas de agentes destinadas a diferentes identidades do Zalo quando o recurso está habilitado. **Recommendations** Atualize para a versão 2026.5.3. Use identificadores estáveis do Zalo onde disponível e mantenha o acesso de amigos restrito. Mantenha as listas de permissões (allowlists) de canais e ferramentas restritas. Evite compartilhar um Gateway entre usuários mutuamente não confiáveis. Desative o recurso afetado quando não for necessário.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.3 **Descrição** Um problema de escalonamento de privilégios existe no recurso `allowFrom`, que se vincula a nomes de exibição do Slack mutáveis. Atacantes com acesso a uma conta do Slack podem modificar os metadados do nome de exibição para corresponderem a entradas de política, potencialmente obtendo acesso de agente não autorizado destinado a outras identidades. **Recomendações** Atualize para a versão 2026.5.3.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.7 **Description** Um problema de escalonamento de privilégios existe no recurso `allowFrom` do Matrix. Contas autenticadas podem corresponder a entradas de política manipulando metadados mutáveis de nomes de exibição. Isso permite que invasores com a capacidade de alterar nomes de exibição obtenham acesso de agente destinado a outra identidade Matrix, o que pode levar a permissões não autorizadas dependendo da configuração do operador. **Recommendations** Atualize para a versão 2026.5.7 ou posterior.

**Name of the Vulnerable Software and Affected Versions** X-Cart version 3.4.3 **Description** A directory traversal issue allows remote attackers to view arbitrary files by including a .. (dot dot) in the `shop closed file` argument to "auth.php". **Recommendations** For X-Cart version 3.4.3, consider restricting access to the "auth.php" file until a patch is available, or apply a configuration change to prevent directory traversal attacks by properly sanitizing the `shop closed file` argument.