PT-2026-29259 · Openclaw · Openclaw

Antaisecuritylab · CVE-2026-33579 · Publicado 2026-03-31 · Atualizado 2026-04-16

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.9

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas: OpenClaw versões anteriores a 2026.3.28

Descrição: Uma vulnerabilidade de escalada de privilégios existe no caminho do comando /pair approve devido à falta de validação de escopo. Um usuário com privilégios de pareamento, mas sem privilégios de administrador, pode aprovar solicitações de dispositivo pendentes para escopos mais amplos, incluindo acesso de administrador. Isso se deve à falha ao encaminhar os escopos do chamador para a verificação de aprovação central em extensions/device-pair/index.ts e src/infra/device-pairing.ts. Relatos indicam que aproximadamente 63% das instâncias do OpenClaw expostas à internet eram vulneráveis devido à falta de autenticação. A vulnerabilidade permite que um invasor obtenha controle administrativo total sobre uma instância.

Recomendações: Atualize para a versão 2026.3.28 ou posterior.

Exploit

Correção

RCE

LPE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-33579

GHSA-F275-5H5C-5WG5

GHSA-HC5H-PMR3-3497

Produtos afetados

Openclaw

Referências · 48

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/33xxx/CVE-2026-33579.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-hc5h-pmr3-3497 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/e403decb6e20091b5402780a7ccd2085f98aa3cd · Correção
• https://github.com/openclaw/openclaw/commit/4ee4960de2330b5322127f925f3687dc6f105be1 · Nota
• https://twitter.com/myopenclaw/status/2040445300800672234 · Publicação no Twitter
• https://reddit.com/r/openclaw/comments/1sn592t/the_openclaw_ecosystem_now_has_138_documented · Publicação no Reddit
• https://twitter.com/dailycve/status/2041598000259084330 · Publicação no Twitter
• https://twitter.com/winsontang/status/2040813184563519514 · Publicação no Twitter
• https://twitter.com/dailyaibyai/status/2040373585680666894 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-f275-5h5c-5wg5 · Aviso do Fabricante
• https://twitter.com/Briefly_Stories/status/2040762009000583467 · Publicação no Twitter
• https://twitter.com/bo1varFordragoN/status/2040769255998947415 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-33579 · Aviso do Fabricante
• https://i.redd.it/4tckbq722mtg1.png · Publicação no Reddit