PT-2026-34778 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-03 · Atualizado 2026-04-25 · CVE-2026-41347

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Ao operar no modo trusted-proxy, o software carece de validação de origem do navegador nos endpoints do operador HTTP. Isso permite ataques de falsificação de solicitação cross-site (CSRF), nos quais invasores enviam solicitações maliciosas a partir de um navegador em implantações de proxy confiáveis para realizar ações não autorizadas nos endpoints do operador HTTP.

Recomendações Atualize para a versão 2026.3.31.

Correção

Origin Validation Error

CSRF

Enumeração de Fraquezas

CWE-346

CWE-352

Identificadores relacionados

CVE-2026-41347

GHSA-2XP4-QHR4-XQM2

GHSA-MHR7-2XMV-4C4Q

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mhr7-2xmv-4c4q · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/6b3f99a11f4d070fa5ed2533abbb3d7329ea4f0d · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://osv.dev/vulnerability/GHSA-2xp4-qhr4-xqm2 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mhr7-2xmv-4c4q · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168361725743136 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-cross-site-request-forgery-via-missing-browser-origin-validation-in-http-operator-endpoints · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41347 · Nota de Segurança