PT-2026-20368 · Openclaw+1 · Openclaw+1
Vincentkoc
·
Publicado
2026-02-18
·
Atualizado
2026-02-19
·
CVE-2026-26317
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L |
Nome do Software Vulnerável e Versões Afetadas
OpenClaw, versões anteriores a 2026.2.14
clawdbot, versões anteriores a 2026.1.24-3
Descrição
Rotas de mutação voltadas para o navegador no localhost aceitavam solicitações de navegador de origem cruzada sem validação explícita de Origin/Referer. A vinculação de loopback reduz a exposição remota, mas não impede solicitações iniciadas pelo navegador de origens maliciosas. Um site malicioso pode acionar alterações de estado não autorizadas contra o plano de controle do navegador OpenClaw local da vítima, como abrir abas, iniciar ou parar o navegador, ou modificar armazenamento e cookies, caso o serviço de controle do navegador seja acessível via loopback dentro do contexto do navegador da vítima. O problema decorre de pontos de extremidade HTTP de mutação expostos que não possuem uma proteção do tipo CSRF, permitindo que os navegadores enviem solicitações de origem cruzada para endereços de loopback sem validação adequada.
Recomendações
Versões anteriores a 2026.2.14: Atualize para a versão 2026.2.14 ou posterior.
Versões anteriores a 2026.1.24-3: Atualize para a versão 2026.1.24-3 ou posterior.
Habilite a autenticação de controle do navegador (token/senha) e evite executar sem autenticação.
Exploit
Correção
CSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Openclaw
Clawdbot