PT-2026-31777 · Openclaw · Openclaw

Peng Zhou · Publicado 2026-04-09 · Atualizado 2026-04-10 · CVE-2026-35644

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22

Description OpenClaw antes da versão 2026.3.22 contém uma questão de divulgação de informações. Atacantes com escopo operator.read podem expor credenciais incorporadas nos campos baseUrl e httpUrl do canal. Informações de autenticação confidenciais podem ser recuperadas de componentes userinfo da URL através dos endpoints API config.get e channels.status.

Recommendations Atualize para a versão 2026.3.22 ou posterior.

Correção

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-312

Identificadores relacionados

CVE-2026-35644

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw/commit/630f1479c44f78484dfa21bb407cbe6f171dac87 · Correção
• https://github.com/openclaw/openclaw/commit/f0202264d0de7ad345382b9008c5963bcefb01b7 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-ppwq-6v66-5m6j · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35644 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2042446573062275466 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2042364314128965836 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-credential-exposure-via-baseurl-fields-in-gateway-snapshots · Nota
• https://twitter.com/infoflowcloud/status/2042366117033763148 · Publicação no Twitter