PT-2026-34709 · Openclaw · Openclaw

Zou Dikai · Publicado 2026-04-23 · Atualizado 2026-04-28 · CVE-2026-41908

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.4.20

Description Existe uma falha de bypass de imposição de escopo na rota 'assistant-media'. Isso permite que chamadores de proxy confiáveis que não possuem o escopo operator.read ignorem a validação de escopo do caminho de autenticação HTTP com suporte a identidade. Consequentemente, usuários não autorizados podem acessar arquivos e metadados protegidos do assistant-media, permitindo a recuperação de conteúdo de mídia sensível dentro de raízes de mídia permitidas.

Recommendations Atualizar para a versão 2026.4.20.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-41908

GHSA-QGX9-6PX9-7P75

GHSA-V8QF-FR4G-28P2

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-v8qf-fr4g-28p2 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/99ef3a63c58440d53f8e45ad861b846032fcb036 · Correção
• https://twitter.com/CVEnew/status/2047428096966697333 · Publicação no Twitter
• https://twitter.com/_cvereports/status/2049063705082532195 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-v8qf-fr4g-28p2 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41908 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-scope-enforcement-bypass-in-assistant-media-route · Nota
• https://osv.dev/vulnerability/GHSA-qgx9-6px9-7p75 · Aviso do Fabricante