PT-2026-23506 · Openclaw · Openclaw

Kikayli · Publicado 2026-03-05 · Atualizado 2026-05-05 · CVE-2026-43529

Positive Technologies (AI Summary) · Pt

CVSS v3.1

2.5

Baixa

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.10

Descrição Um problema de time-of-check-time-of-use (TOCTOU) existe na função validateScriptFileForShellBleed(). Um problema TOCTOU é um bug de software onde um sistema verifica uma condição (como uma credencial de segurança) e então usa o resultado dessa verificação para realizar uma ação, mas a condição muda entre a verificação e o uso. Isso permite que atacantes locais com acesso de escrita ao workspace ignorem as verificações de limite do workspace usando uma condição de corrida (race condition) para trocar o arquivo alvo entre as fases de validação e leitura de pré-execução. Isso faz com que o validador inspecione uma identidade de arquivo diferente daquela que passou inicialmente na verificação de limite.

Recomendações Atualize para a versão 2026.4.10 ou superior.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

CVE-2026-43529

GHSA-GJ9Q-8W99-MP8J

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/b024fae9e5df43e9b69b2daebb72be3469d52e91 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-gj9q-8w99-mp8j · Aviso do Fabricante
• https://github.com/openclaw/openclaw/pull/62333 · Nota
• https://vulncheck.com/advisories/openclaw-time-of-check-time-of-use-toctou-race-condition-in-exec-script-preflight-validator · Nota
• https://twitter.com/Hermes_tooll/status/2029580073289081252 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-gj9q-8w99-mp8j · Aviso do Fabricante
• https://twitter.com/zerodaytraining/status/2029545570269085756 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-43529 · Nota de Segurança