PT-2026-23536 · Openclaw · Openclaw

Tuba Deligoz · Publicado 2026-02-17 · Atualizado 2026-03-07 · CVE-2026-28459

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores a 2026.2.12

Descrição Versões do OpenClaw anteriores a 2026.2.12 não validam adequadamente o parâmetro de caminho sessionFile, permitindo potencialmente que clientes de gateway autenticados gravem dados de transcrição em locais arbitrários no sistema de arquivos do host. Um invasor pode fornecer um caminho sessionFile fora do diretório de sessões para criar arquivos e anexar dados repetidamente, o que pode levar à corrupção de configuração ou negação de serviço. O problema envolve o gateway aceitar um caminho sessionFile não confiável ao resolver o arquivo de transcrição da sessão.

Recomendações Atualize o OpenClaw para a versão 2026.2.12 ou posterior.

Correção

Improper Access Control

OS Command Injection

Relative Path Traversal

Enumeração de Fraquezas

CWE-284

CWE-73

CWE-78

CWE-23

Identificadores relacionados

CVE-2026-28459

GHSA-64QX-VPXX-MVQF

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.2.12 · Nota
• https://github.com/openclaw/openclaw/commit/4199f9889f0c307b77096a229b9e085b8d856c26 · Correção
• https://github.com/openclaw/openclaw/commit/25950bcbb8ba4d8cde002557f6e27c219ae4deda · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-64qx-vpxx-mvqf · Aviso do Fabricante, Correção
• https://vulncheck.com/advisories/openclaw-arbitrary-file-write-via-untrusted-sessionfile-path · Nota
• https://twitter.com/CVEnew/status/2030385186089636061 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-28459 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-28459 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-64qx-vpxx-mvqf · Aviso do Fabricante