PT-2026-29868 · Openclaw · Openclaw

Zhijie Zhang · Publicado 2026-04-02 · Atualizado 2026-04-07 · CVE-2026-34425

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores ao commit 8aceaf5

Description As versões OpenClaw anteriores ao commit 8aceaf5 contêm uma falha de bypass de validação pré-voo na proteção shell-bleed. Isso permite que invasores executem conteúdo de script bloqueado usando formas de comando complexas ou canalizadas que o analisador não consegue reconhecer. Os invasores podem criar comandos como execução canalizada, substituição de comando ou invocação de subshell para ignorar as verificações de validação validateScriptFileForShellBleed() e executar conteúdo de script arbitrário que, de outra forma, seria bloqueado.

Recommendations Atualize o OpenClaw para o commit 8aceaf5 ou posterior.

Correção

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-34425

GHSA-FVX6-PJ3R-5Q4Q

GHSA-RF75-G96H-J3RM

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/8aceaf5d0f0ec552b75a792f7f0a3bfa5b091513 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-fvx6-pj3r-5q4q · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-fvx6-pj3r-5q4q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34425 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2040129971708960902 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1sexrsn/resumen_diario_de_vulnerabilidades_07042026 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-rf75-g96h-j3rm · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-shell-bleed-protection-preflight-validation-bypass · Nota
• https://twitter.com/CVEnew/status/2040128801183604977 · Publicação no Twitter