PT-2026-20791 · Openclaw+1 · Openclaw+1

Aether-Ai-Agent · Publicado 2026-02-18 · Atualizado 2026-03-01 · CVE-2026-27003

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores a 2026.2.15

Descrição A aplicação registra tokens de bot do Telegram em log sem mascaramento quando eles aparecem em mensagens de erro ou stack traces, como em URLs de requisição incluindo https://api.telegram.org/bot<token>/.... Isso pode levar ao vazamento do token do bot para logs, relatórios de crash, saída de CI ou pacotes de suporte. A exposição de um token de bot do Telegram permite que um atacante se passe pelo bot e obtenha acesso completo à API do Bot.

Recomendações Atualize para a versão 2026.2.15 ou posterior. Rotacione o token do bot do Telegram se ele puder ter sido exposto.

Exploit

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2026-27003

GHSA-CHF7-JQ6G-QRWV

Produtos afetados

Openclaw

Telegram Bot Api

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27003.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-chf7-jq6g-qrwv · Correção
• https://github.com/openclaw/openclaw/commit/cf69907015b659e5025efb735ee31bd05c4ee3d5 · Correção
• https://twitter.com/CVEarity/status/2024835569101291704 · Publicação no Twitter
• https://twitter.com/CoyoteSecure/status/2028211943627256241 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27003 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-chf7-jq6g-qrwv · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-27003 · Aviso do Fabricante