PT-2026-20967 · Openclaw · Openclaw

Aether-Ai-Agent · Publicado 2026-02-18 · Atualizado 2026-02-20 · CVE-2026-27004

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores a 2026.2.15

Descrição O OpenClaw é um assistente de IA pessoal. Em implantações de agente compartilhado, antes da versão 2026.2.15, as ferramentas de sessão (sessions list, sessions history, sessions send) permitiram um direcionamento de sessão mais amplo do que o pretendido por alguns operadores. Este é um problema de configuração e escopo de visibilidade em ambientes multiusuário onde os pares não são igualmente confiáveis, potencialmente expondo conteúdo de transcrição entre sessões de pares. No modo de webhook do Telegram, a inicialização do monitor não recorreu ao webhookSecret por conta quando apenas o secret em nível de conta estava configurado.

Recomendações Atualize o OpenClaw para a versão 2026.2.15 ou posterior.

Exploit

Correção

Generation of Error Message Containing Sensitive Information

Origin Validation Error

Enumeração de Fraquezas

CWE-209

CWE-346

Identificadores relacionados

CVE-2026-27004

GHSA-6HF3-MHGC-CM65

Produtos afetados

Openclaw

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/27xxx/CVE-2026-27004.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-6hf3-mhgc-cm65 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/c6c53437f7da033b94a01d492e904974e7bda74c · Correção
• https://osv.dev/vulnerability/CVE-2026-27004 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6hf3-mhgc-cm65 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-27004 · Nota de Segurança
• https://t.me/CVEtracker/45212 · Publicação no Telegram
• https://twitter.com/CVEarity/status/2024838349039775748 · Publicação no Twitter