PT-2026-23523 · Openclaw · Openclaw

Vincent Koc · Publicado 2026-02-19 · Atualizado 2026-03-10 · CVE-2026-28394

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores a 2026.2.15

Descrição A ferramenta web fetch do OpenClaw pode causar uma negação de serviço ao interromper o processo Gateway devido ao esgotamento de memória. Isso ocorre ao analisar respostas HTML excessivamente grandes ou profundamente aninhadas obtidas de URLs controladas pelo atacante. Um atacante pode potencialmente induzir um usuário ou sistema automatizado por meio de engenharia social a buscar uma URL maliciosa, levando ao esgotamento de memória do servidor e à indisponibilidade do serviço.

Recomendações Atualize para a versão 2026.2.15 ou posterior do OpenClaw.

Correção

DoS

Allocation of Resources Without Limits

Resource Exhaustion

Enumeração de Fraquezas

CWE-770

CWE-400

Identificadores relacionados

CVE-2026-28394

GHSA-P536-VVPP-9MC8

Produtos afetados

Openclaw

Referências · 12

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-p536-vvpp-9mc8 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/166cf6a3e04c7df42bea70a7ad5ce2b9df46d147 · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.2.15 · Nota
• https://t.me/cveNotify/154430 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2026-28394 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-p536-vvpp-9mc8 · Aviso do Fabricante
• https://twitter.com/renandnzsantos/status/2030385569650380904 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2030385198374736254 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-28394 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-denial-of-service-via-unbounded-response-parsing-in-web-fetch-tool · Nota
• https://twitter.com/dailycve/status/2031214531679080509 · Publicação no Twitter