PT-2026-31871 · Openclaw · Openclaw

Zast.Ai · Publicado 2026-04-10 · Atualizado 2026-04-30 · CVE-2026-6011

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Name of the Vulnerable Software and Affected Versions OpenClaw versões até 2026.1.26

Description Uma fraqueza foi identificada no OpenClaw até a versão 2026.1.26, especificamente dentro da funcionalidade assertPublicHostname Handler do arquivo src/agents/tools/web-fetch.ts. Uma manipulação pode levar a falsificação de solicitação do lado do servidor. O ataque pode ser executado remotamente e é caracterizado por alta complexidade, embora a exploração seja conhecida por ser difícil. O exploit foi disponibilizado publicamente.

Recommendations Atualize para a versão 2026.1.29 ou posterior, que inclui o patch b623557a2ec7e271bda003eb3ac33fbb2e218505. Atualize o componente afetado.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-6011

GHSA-52VJ-FVRV-7Q82

Produtos afetados

Openclaw

Referências · 12

• 🔥 https://github.com/zast-ai/vulnerability-reports/blob/main/openclaw/ssrf.md · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/b623557a2ec7e271bda003eb3ac33fbb2e218505#diff-06572a96a58dc510037d5efa622f9bec8519bc1beab13c9f251e97e657a9d4edR44 · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.1.29 · Correção
• https://osv.dev/vulnerability/GHSA-52vj-fvrv-7q82 · Aviso do Fabricante
• https://vuldb.com/submit/795224 · Correção
• https://vuldb.com/vuln/356567 · Nota
• https://vuldb.com/vuln/356567/cti · Nota
• https://t.me/cveNotify/161552 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2042495210626650213 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6011 · Nota de Segurança
• https://twitter.com/CVEnew/status/2042561766736171290 · Publicação no Twitter