PT-2026-34789 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-23 · Atualizado 2026-05-07 · CVE-2026-41358

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.2

Descrição O OpenClaw falha ao filtrar o contexto de threads do Slack por meio de uma lista de permissões (allowlist) de remetentes, permitindo que mensagens de remetentes não autorizados entrem no contexto do agente. Isso permite que atacantes injetem mensagens de thread não autorizadas através de respostas de usuários permitidos, ignorando os controles de acesso de remetente para manipular o contexto do modelo.

Recomendações Atualize para a versão 2026.4.2.

Correção

Origin Validation Error

Enumeração de Fraquezas

CWE-346

Identificadores relacionados

CVE-2026-41358

GHSA-7HRG-5W46-5R2X

GHSA-QM77-8QJP-4VCM

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-qm77-8qjp-4vcm · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/ac5bc4fb37becc64a2ec314864cca1565e921f2d · Correção
• https://osv.dev/vulnerability/GHSA-7hrg-5w46-5r2x · Aviso do Fabricante
• https://twitter.com/integ_sec/status/2052393340675510581 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2048168350921179465 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-sender-allowlist-bypass-via-slack-thread-context · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41358 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-qm77-8qjp-4vcm · Aviso do Fabricante