PT-2026-31981 · Openclaw · Openclaw

Keensecuritylab + 1 · Publicado 2026-03-26 · Atualizado 2026-04-10 · CVE-2026-35670

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22

Description OpenClaw contém um problema de entrega de resposta de webhook que permite que invasores redirecionem respostas de bate-papo para usuários não intencionais. Isso é possível porque o sistema usa correspondência de nome de usuário mutável em vez de identificadores de usuário numéricos estáveis. Ao manipular as alterações de nome de usuário, os invasores podem redirecionar respostas acionadas por webhook, ignorando a vinculação do destinatário pretendido registrada nos eventos de webhook.

Recommendations Atualize para a versão 2026.3.22 ou posterior.

Correção

IDOR

Enumeração de Fraquezas

CWE-807

CWE-706

CWE-639

Identificadores relacionados

CVE-2026-35670

GHSA-WV46-V6XC-2QHF

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/630f1479c44f78484dfa21bb407cbe6f171dac87 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-wv46-v6xc-2qhf · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/7ade3553b74ee3f461c4acd216653d5ba411f455 · Correção
• https://osv.dev/vulnerability/GHSA-wv46-v6xc-2qhf · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2042710240425058756 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-webhook-reply-rebinding-via-username-resolution-in-synology-chat · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-35670 · Nota de Segurança