PT-2026-33864 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-07 · Atualizado 2026-04-21 · CVE-2026-41297

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.31

Description Um problema de server-side request forgery (SSRF) existe na funcionalidade de download de plugins do marketplace. O módulo marketplace.ts falha ao restringir os destinos de redirecionamento durante os downloads de arquivos, permitindo que atacantes remotos acessem recursos internos ou redirecionem solicitações para servidores internos ou externos arbitrários ao seguir redirecionamentos não validados.

Recommendations Atualize para a versão 2026.3.31 ou posterior. Como medida paliativa temporária, restrinja o acesso ao módulo marketplace.ts para minimizar o risco de exploração.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41297

GHSA-VJX8-8P7H-82GR

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-vjx8-8p7h-82gr · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/2ce44ca6a1302b166a128abbd78f72114f2f4f52 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-41297 · Nota de Segurança
• https://twitter.com/CVEnew/status/2046571882732994933 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-via-marketplace-plugin-download-redirect · Nota
• https://osv.dev/vulnerability/GHSA-vjx8-8p7h-82gr · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2046461778448580945 · Publicação no Twitter