PT-2026-34779 · Openclaw · Openclaw

Keensecuritylab + 2 · CVE-2026-41348 · Publicado 2026-04-03 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Existe uma falha de bypass de autorização nos caminhos de comandos slash e preenchimento automático (autocomplete) do Discord que não impõem as restrições da lista de permissões (allowlist) de canais de DM de grupo. Isso permite que usuários autorizados do Discord ignorem as restrições de canal ao invocar comandos slash, obtendo acesso a canais de DM de grupo restritos.

Recomendações Atualize para a versão 2026.3.31.

Exploit

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-41348

GHSA-QGP3-3RJ7-QQQ4

GHSA-RVVF-6VH3-9J43

Produtos afetados

Openclaw

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41348.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-rvvf-6vh3-9j43 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/8fdb19676ab44cf85d47ee13c578195f2e527591 · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://vulncheck.com/advisories/openclaw-group-dm-channel-allowlist-bypass-via-discord-slash-commands · Nota
• https://osv.dev/vulnerability/CVE-2026-41348 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qgp3-3rj7-qqq4 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rvvf-6vh3-9j43 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168360882647536 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41348 · Nota de Segurança