PT-2026-33866 · Openclaw · Openclaw

Peng Zhou · Publicado 2026-03-31 · Atualizado 2026-04-27 · CVE-2026-41299

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.28

Description Existe um bypass de autorização no método de gateway 'chat.send'. O problema ocorre porque os campos de proveniência exclusivos do ACP são controlados por metadados do cliente autodeclarados do handshake WebSocket, em vez de um estado de autorização verificado. Isso permite que clientes de operador autenticados falsifiquem rótulos de identidade ACP e injetem campos de proveniência reservados destinados exclusivamente à ponte ACP, manipulando os metadados do cliente durante o processo de conexão.

Recommendations Atualizar para a versão 2026.3.28.

Correção

Authentication Bypass by Spoofing

Enumeração de Fraquezas

CWE-807

CWE-290

Identificadores relacionados

CVE-2026-41299

GHSA-6XG4-82HV-CP6F

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-6xg4-82hv-cp6f · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/4b9542716c26ac77652bcaa0f562043b298b409f · Nota
• https://t.me/cveNotify/161116 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2046571879851553072 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-6xg4-82hv-cp6f · Aviso do Fabricante
• https://twitter.com/pulsepatchio/status/2046426210612183047 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41299 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2046459218761302238 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-client-identity-spoofing-in-chat-send-gateway-provenance-guard · Nota