PT-2026-23545 · Openclaw · Openclaw

Petr Simecek · Publicado 2026-02-17 · Atualizado 2026-03-17 · CVE-2026-28470

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do OpenClaw anteriores a 2026.2.2

Descrição O software contém uma falha em sua lista de permissões de aprovação de execução, que pode ser contornada quando a sintaxe de substituição de comandos é utilizada. Especificamente, os atacantes podem executar comandos arbitrários injetando sintaxe de substituição de comandos, como $() ou crases, dentro de strings entre aspas duplas. Isso contorna a proteção pretendida da lista de permissões. O problema afeta apenas instalações onde o recurso de lista de permissões de aprovação de execução está explicitamente habilitado.

Recomendações Atualize para a versão 2026.2.2 ou posterior. Rejeite $() e crases não escapados dentro de aspas duplas durante a análise da lista de permissões.

Correção

Argument Injection

OS Command Injection

Enumeração de Fraquezas

CWE-88

CWE-78

Identificadores relacionados

CVE-2026-28470

GHSA-3HCM-GGVF-RCH5

Produtos afetados

Openclaw

Referências · 14

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d1ecb46076145deb188abcba8f0699709ea17198 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-3hcm-ggvf-rch5 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/releases/tag/v2026.2.2 · Nota
• https://twitter.com/CVEnew/status/2030385177403253040 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-28470 · Nota de Segurança
• https://twitter.com/TheHackerWire/status/2029908843376107954 · Publicação no Twitter
• https://t.me/CVEtracker/46489 · Publicação no Telegram
• https://twitter.com/0dayPublishing/status/2034014182572528088 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-28470 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3hcm-ggvf-rch5 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-exec-allowlist-bypass-via-command-substitution-in-double-quotes · Nota
• https://twitter.com/PurpleOps_io/status/2029792098216505794 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/2029689143727358025 · Publicação no Twitter