PT-2026-34785 · Openclaw · Openclaw

Steven Siegfried · Publicado 2026-04-07 · Atualizado 2026-04-25 · CVE-2026-41354

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.2

Descrição Um problema de escopo insuficiente existe nas chaves de deduplicação de replay de webhook do Zalo. Isso permite que eventos legítimos de diferentes remetentes ou conversas colidam, permitindo que atacantes explorem o escopo de deduplicação fraco para causar a supressão silenciosa de mensagens e interromper fluxos de trabalho de bots entre sessões de chat.

Recomendações Atualize para a versão 2026.4.2.

Correção

Enumeração de Fraquezas

CWE-440

CWE-349

CWE-706

Identificadores relacionados

CVE-2026-41354

GHSA-6477-WVJJ-47V6

GHSA-RXMX-G7HR-8MX4

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-rxmx-g7hr-8mx4 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/ef7c553dd16ee579f1d1a363f5881a99726c1412 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-41354 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048168354574471202 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-insufficient-scope-in-zalo-webhook-replay-dedupe-keys · Nota
• https://osv.dev/vulnerability/GHSA-6477-wvjj-47v6 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rxmx-g7hr-8mx4 · Aviso do Fabricante