PT-2026-31755 · Openclaw · Openclaw

Peng Zhou · CVE-2026-34512 · Publicado 2026-03-27 · Atualizado 2026-04-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.25

Description OpenClaw contém um problema de controle de acesso inadequado na rota /sessions/:sessionKey/kill. Qualquer usuário autenticado com bearer token pode invocar funções de terminação de sessão de nível administrativo sem validação de escopo adequada. Um invasor pode explorar isso enviando solicitações autenticadas para encerrar sessões de subagentes arbitrários através da função killSubagentRunAdmin, ignorando as restrições de escopo de propriedade e operador.

Recommendations Atualize para a versão 2026.3.25 ou posterior.

Exploit

Correção

LPE

Incorrect Authorization

Enumeração de Fraquezas

CWE-226

CWE-863

Identificadores relacionados

CVE-2026-34512

GHSA-9P93-7J67-5PC2

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/34xxx/CVE-2026-34512.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-9p93-7j67-5pc2 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/02cf12371f9353a16455da01cc02e6c4ecfc4152 · Correção
• https://osv.dev/vulnerability/CVE-2026-34512 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9p93-7j67-5pc2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-34512 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-improper-access-control-in-sessions-sessionkey-kill-endpoint · Nota
• https://twitter.com/CVEnew/status/2042561824999248154 · Publicação no Twitter
• https://twitter.com/theagentcop/status/2042374687267663939 · Publicação no Twitter