Philip

OpenClaw before 2026.5.7 contains a privilege escalation vulnerability where the allowFrom feature improperly validates Discord account identity using mutable display names instead of immutable user IDs. Attackers with Discord accounts can change their display name to match a policy entry and gain unauthorized agent access intended for another Discord identity.

OpenClaw before 2026.5.3 contains a policy enforcement vulnerability where Zalo contacts with mutable display metadata could match allowFrom policy entries through display name changes. Attackers with mutable display names could receive agent responses intended for different Zalo identities when the feature is enabled.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.3 **Descrição** Um problema de escalonamento de privilégios existe no recurso `allowFrom`, que se vincula a nomes de exibição do Slack mutáveis. Atacantes com acesso a uma conta do Slack podem modificar os metadados do nome de exibição para corresponderem a entradas de política, potencialmente obtendo acesso de agente não autorizado destinado a outras identidades. **Recomendações** Atualize para a versão 2026.5.3.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.5.7 **Description** Um problema de escalonamento de privilégios existe no recurso `allowFrom` do Matrix. Contas autenticadas podem corresponder a entradas de política manipulando metadados mutáveis de nomes de exibição. Isso permite que invasores com a capacidade de alterar nomes de exibição obtenham acesso de agente destinado a outra identidade Matrix, o que pode levar a permissões não autorizadas dependendo da configuração do operador. **Recommendations** Atualize para a versão 2026.5.7 ou posterior.

**Name of the Vulnerable Software and Affected Versions** X-Cart version 3.4.3 **Description** A directory traversal issue allows remote attackers to view arbitrary files by including a .. (dot dot) in the `shop closed file` argument to "auth.php". **Recommendations** For X-Cart version 3.4.3, consider restricting access to the "auth.php" file until a patch is available, or apply a configuration change to prevent directory traversal attacks by properly sanitizing the `shop closed file` argument.