PT-2026-23520 · Openclaw+1 · Openclaw+1
Petr Simecek
·
Publicado
2026-02-17
·
Atualizado
2026-03-10
·
CVE-2026-28391
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Versões do OpenClaw anteriores a 2026.2.2
Descrição
O software não valida corretamente os metacaracteres do Windows cmd.exe em solicitações de execução com base na lista de permissões, o que pode permitir que atacantes burlem as restrições de aprovação de comandos. Atacantes podem criar strings de comandos com metacaracteres do shell, como
& ou %...%, para executar comandos não aprovados além das operações na lista de permissões. O software utiliza cmd.exe /d /s /c <rawCommand> para executar solicitações em nós Windows. A análise da lista de permissões não modela a análise sintática e o comportamento dos metacaracteres do cmd.exe do Windows. O código vulnerável está localizado em src/infra/node-shell.ts. A correção reforça a aplicação da lista de permissões no Windows ao incluir a plataforma na análise da lista de permissões, rejeitando metacaracteres do shell do Windows, considerando a invocação do cmd.exe como não segura para a lista de permissões no Windows e evitando o uso do cmd.exe completamente no modo de lista de permissões, executando diretamente o argv analisado quando possível.Recomendações
Atualize para a versão 2026.2.2 ou posterior.
Correção
Incomplete List of Disallowed Inputs
OS Command Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Openclaw
Windows