PT-2026-33859 · Openclaw · Openclaw

Keensecuritylab · Publicado 2026-04-07 · Atualizado 2026-04-21 · CVE-2026-40045

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.7

Média

Vetor base

AV:A/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.4.2

Description O software aceita endpoints de gateway 'ws://' em texto simples (cleartext) que não sejam de loopback e transmite credenciais de gateway armazenadas através de conexões não criptografadas. Este problema de segurança de transporte permite que atacantes forjem resultados de descoberta ou criem códigos de configuração para redirecionar clientes para endpoints maliciosos, resultando na exposição de credenciais de gateway em texto simples.

Recommendations Atualize para a versão 2026.4.2 ou posterior.

Correção

Information Disclosure

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-200

CWE-319

Identificadores relacionados

CVE-2026-40045

GHSA-83F3-HH45-VFW9

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-83f3-hh45-vfw9 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/a941a4fef9bc43b2973c92d0dcff5b8a426210c5 · Correção
• https://osv.dev/vulnerability/GHSA-83f3-hh45-vfw9 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-cleartext-credential-transmission-via-unencrypted-websocket-gateway-endpoints · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40045 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2046474576855511477 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2046571886524653861 · Publicação no Twitter