PT-2026-29228 · Openclaw · Openclaw

Lintsinghua · CVE-2026-32920 · Publicado 2026-03-13 · Atualizado 2026-07-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.12

Description O OpenClaw descobre e carrega automaticamente plugins do diretório .OpenClaw/extensions/ sem verificação explícita de confiança. Isso permite a execução de código arbitrário, pois invasores podem incluir plugins de espaço de trabalho manipulados em repositórios clonados. Quando um usuário executa o OpenClaw a partir de tal diretório, o código malicioso é executado sob a conta do usuário. Este problema ocorre porque a aplicação falha em verificar a integridade dos plugins carregados do caminho especificado.

Recommendations Atualize para a versão 2026.3.12 ou posterior. Evite executar o OpenClaw dentro de repositórios não confiáveis em versões anteriores a 2026.3.12.

Exploit

Correção

RCE

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2026-32920

GHSA-99QW-6MR3-36QR

GHSA-J5QH-5234-4RQP

Produtos afetados

Openclaw

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/32xxx/CVE-2026-32920.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-99qw-6mr3-36qr · Aviso do Fabricante
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.12 · Nota
• https://twitter.com/abcas_mcp_guard/status/2038959269777907791 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1s8rna1/critical_openclaw_rce_flaw_exposes_users_to · Publicação no Reddit
• https://twitter.com/TheHackerWire/status/2038955738761216489 · Publicação no Twitter
• https://t.me/cveNotify/222910 · Publicação no Telegram
• https://twitter.com/CveFindCom/status/2038960380458750111 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-99qw-6mr3-36qr · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-j5qh-5234-4rqp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-32920 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-arbitrary-code-execution-via-auto-discovery-of-workspace-plugins · Nota
• https://osv.dev/vulnerability/CVE-2026-32920 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2039004489303097723 · Publicação no Twitter