PT-2026-33869 · Openclaw · Openclaw

Tdjackey · Publicado 2026-04-02 · Atualizado 2026-04-21 · CVE-2026-41302

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.31

Description Um problema de server-side request forgery (SSRF) existe na funcionalidade de download de plugins do marketplace. Isso ocorre devido a chamadas fetch() não protegidas, que permitem que atacantes remotos façam requisições de rede arbitrárias para acessar recursos internos ou interagir com serviços externos em nome do sistema afetado.

Recommendations Atualize para a versão 2026.3.31 ou posterior.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41302

GHSA-9Q7V-8MR7-G23P

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-9q7v-8mr7-g23p · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/8deb9522f3d2680820588b190adb4a2a52f3670b · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-via-unguarded-fetch-in-marketplace-plugin-download · Nota
• https://osv.dev/vulnerability/GHSA-9q7v-8mr7-g23p · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2046571876798058955 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41302 · Nota de Segurança