PT-2026-31959 · Openclaw · Openclaw

Peng Zhou · CVE-2026-35647 · Publicado 2026-03-27 · Atualizado 2026-04-10

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.25

Description OpenClaw contém uma falha de controle de acesso onde as notificações de verificação ignoram as verificações de política de mensagem direta (DM) e podem ser enviadas para pares não emparelhados. Validação de acesso insuficiente antes da transmissão da mensagem permite que invasores enviem notificações de verificação para usuários fora das políticas de DM permitidas.

Recommendations Atualize para a versão 2026.3.25 ou posterior.

Exploit

Correção

Authentication Bypass Using an Alternate Path or Channel

Incorrect Authorization

Enumeração de Fraquezas

CWE-288

CWE-863

Identificadores relacionados

CVE-2026-35647

GHSA-9WQX-G2CW-VC7R

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/35xxx/CVE-2026-35647.json · Exploit
• https://github.com/openclaw/openclaw/security/advisories/GHSA-9wqx-g2cw-vc7r · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/2383daf5c4a4e08d9553e0e949552ad755ef9ec2 · Correção
• https://github.com/openclaw/openclaw · Nota
• https://twitter.com/CVEnew/status/2042710267927187752 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-35647 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2042710734564413853 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-35647 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-9wqx-g2cw-vc7r · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-direct-message-policy-bypass-via-verification-notices · Nota