PT-2026-34788 · Openclaw · Openclaw

Antaisecuritylab · CVE-2026-41357 · Publicado 2026-04-02 · Atualizado 2026-04-25

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.1

Média

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Backends de sandbox baseados em SSH passam process.env não sanitizado para processos filhos, resultando no vazamento de variáveis de ambiente. Atacantes podem aproveitar configurações de encaminhamento de ambiente SSH não padrão para vazar variáveis de ambiente sensíveis de processos pai para processos filhos SSH.

Recomendações Atualize para a versão 2026.3.31 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-212

CWE-214

Identificadores relacionados

CVE-2026-41357

GHSA-J9PV-RRCJ-6PFX

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41357.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-j9pv-rrcj-6pfx · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/cfe14459531e002a1c61c27d97ec7dc8aecddc1f · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://osv.dev/vulnerability/CVE-2026-41357 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41357 · Nota de Segurança
• https://twitter.com/CVEnew/status/2048168351835492705 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-unsanitized-environment-variable-leakage-in-ssh-sandbox-backends · Nota
• https://osv.dev/vulnerability/GHSA-j9pv-rrcj-6pfx · Aviso do Fabricante