PT-2026-31765 · Openclaw · Openclaw

Ylchen-007 · Publicado 2026-03-29 · Atualizado 2026-04-10 · CVE-2026-35629

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.4

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:L

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.25

Description As versões do OpenClaw anteriores a 2026.3.25 contêm uma vulnerabilidade de falsificação de solicitação do lado do servidor em várias extensões de canal. O problema surge da falha em proteger adequadamente as URLs base configuradas contra ataques SSRF. Os invasores podem explorar chamadas fetch() não protegidas em endpoints configurados para redirecionar solicitações para destinos internos bloqueados e acessar recursos restritos. Isso permite que os invasores usem o agente como um ponto de apoio para acessar recursos internos.

Recommendations Atualize para a versão 2026.3.25 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-35629

GHSA-8J7F-G9GV-7JHC

GHSA-RHFG-J8JQ-7V2H

Produtos afetados

Openclaw

Referências · 12

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-rhfg-j8jq-7v2h · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/f92c92515bd439a71bd03eb1bc969c1964f17acf · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-35629 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-rhfg-j8jq-7v2h · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-8j7f-g9gv-7jhc · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2042390032812540375 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2042474730079355113 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-via-unguarded-configured-base-urls-in-channel-extensions · Nota
• https://twitter.com/CVEnew/status/2042387951628533766 · Publicação no Twitter
• https://github.com/advisories/GHSA-pg2v-8xwh-qhcc · Nota
• https://twitter.com/theagentcop/status/2042375819805245494 · Publicação no Twitter