PT-2026-34790 · Openclaw · Openclaw

Peng Zhou · Publicado 2026-04-07 · Atualizado 2026-04-25 · CVE-2026-41359

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.28

Descrição Controles de acesso insuficientes permitem que operadores autenticados com permissões de escrita realizem escalada de privilégios. Ao utilizar o endpoint 'send', invasores com credenciais operator.write podem acessar configurações administrativas do Telegram e definições de persistência de cron, permitindo a modificação de mecanismos de persistência.

Recomendações Atualize para a versão 2026.3.28 ou posterior. Restrinja o acesso ao endpoint 'send' para usuários com permissões de operador até que a atualização seja aplicada.

Correção

LPE

Improper Privilege Management

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-41359

GHSA-394X-274P-MQC6

GHSA-767M-XRHC-FXM7

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/b7d70ade3b9900dbe97bd73be9c02e924ff3c986 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-767m-xrhc-fxm7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41359 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-394x-274p-mqc6 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2048168349037985851 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-operator-write-to-admin-class-telegram-config-and-cron-persistence · Nota
• https://osv.dev/vulnerability/GHSA-767m-xrhc-fxm7 · Aviso do Fabricante