PT-2026-30235 · Openclaw · Openclaw

Raax · Publicado 2026-04-03 · Atualizado 2026-04-04 · CVE-2026-34511

Positive Technologies (AI Summary) · Pt

CVSS v4.0

7.0

Alta

Vetor base

AV:N/AC:H/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:H/SI:H/SA:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.4.2

Description A aplicação reutiliza o verificador PKCE como o parâmetro de estado OAuth no fluxo OAuth Gemini, expondo-o através da URL de redirecionamento. Um invasor que captura a URL de redirecionamento pode obter tanto o código de autorização quanto o verificador PKCE, derrotando a proteção PKCE e permitindo a troca de tokens.

Recommendations Atualize para a versão 2026.4.2 ou posterior.

Correção

Insufficient Verification of Data Authenticity

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-345

CWE-330

Identificadores relacionados

CVE-2026-34511

GHSA-9JPJ-G8VV-J5MF

GHSA-CH86-PXR9-J9H9

Produtos afetados

Openclaw

Referências · 7

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/a26f4d0f3ef0757db6c6c40277cc06a5de76c52f · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-9jpj-g8vv-j5mf · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9jpj-g8vv-j5mf · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-pkce-verifier-exposure-via-oauth-state-parameter · Nota
• https://osv.dev/vulnerability/GHSA-ch86-pxr9-j9h9 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34511 · Nota de Segurança