PT-2026-34781 · Openclaw · Openclaw

Tdjackey · Publicado 2026-04-23 · Atualizado 2026-04-25 · CVE-2026-41350

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Existe uma falha de bypass de visibilidade de sessão onde a função session status() não aplica as restrições configuradas em tools.sessions.visibility durante invocações não isoladas (unsandboxed). Isso permite que atacantes invoquem session status() sem as restrições de sandbox, ignorando os controles de política de sessão para acessar informações de sessão restritas.

Recomendações Atualize para a versão 2026.3.31 ou posterior. Como medida paliativa temporária, restrinja o acesso à função session status() para minimizar o risco de exploração.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-41350

Produtos afetados

Openclaw

Referências · 5

• https://github.com/openclaw/openclaw/security/advisories/GHSA-fwjq-xwfj-gv75 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/4d369a3400dc9b737fbe8daa63f09d909ce7beb8 · Correção
• https://twitter.com/CVEnew/status/2048168359129387236 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41350 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-session-visibility-bypass-via-session-status-in-unsandboxed-invocations · Nota