PT-2026-20906 · Openclaw · Openclaw

Adam55A-Code · Publicado 2026-02-18 · Atualizado 2026-02-20 · CVE-2026-27008

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.8

Média

Vetor base

AV:L/AC:L/AT:N/PR:H/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores à 2026.2.15

Descrição Existe uma falha no processo de instalação da skill download do OpenClaw, especificamente em versões anteriores à 2026.2.15. A validação insuficiente dos valores de targetDir dentro do frontmatter da skill permitiu a potencial escrita de arquivos fora do sandbox de instalação pretendido durante o fluxo skills.install, exclusivo para administradores. Isso poderia ocorrer quando o valor de targetDir não era estritamente validado.

Recomendações Atualize para o OpenClaw versão 2026.2.15 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

CVE-2026-27008

GHSA-H7F7-89MM-PQH6

Produtos afetados

Openclaw

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27008.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.2.15 · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-h7f7-89mm-pqh6 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/b6305e97256d67e439719faacf5af3de9727d6e1 · Correção
• https://github.com/openclaw/openclaw/commit/2363e1b0853a028e47f90dcc1066e3e9809d65f1 · Correção
• https://t.me/CVEtracker/45214 · Publicação no Telegram
• https://twitter.com/CVEarity/status/2024843911789990250 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-27008 · Nota de Segurança
• https://reddit.com/r/VulnMatter/comments/1r91qgc/resumen_diario_de_vulnerabilidades_19022026 · Publicação no Reddit
• https://osv.dev/vulnerability/CVE-2026-27008 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-h7f7-89mm-pqh6 · Aviso do Fabricante