PT-2026-35550 · Openclaw · Openclaw

Keensecuritylab + 2 · CVE-2026-41362 · Publicado 2026-04-07 · Atualizado 2026-04-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões 2026.2.19 a 2026.3.30

Descrição Um problema de isolamento inadequado de cache existe no mecanismo de replay-dedupe do webhook Zalo, que é compartilhado entre alvos de webhook autenticados. Em implantações de múltiplas contas, um invasor que controle um caminho de webhook Zalo autenticado pode suprimir eventos legítimos em outras contas ao corresponder aos parâmetros event name e message id.

Recomendações Atualize para a versão 2026.3.31.

Exploit

Correção

Exposure of Resource to Wrong Sphere

Improper Authentication

Enumeração de Fraquezas

CWE-668

CWE-287

Identificadores relacionados

CVE-2026-41362

GHSA-FQRJ-M88P-QF3V

Produtos afetados

Openclaw

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41362.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/7cea7c29705b188b464cc9cdc107c275b94b2a72 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-fqrj-m88p-qf3v · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/4d038bb242c11f39e45f6a4bde400e5fd42e4ebf · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-41362 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-webhook-replay-dedupe-cache-event-suppression-via-shared-authentication · Nota
• https://twitter.com/CVEarity/status/2049027310016467086 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-41362 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049080764029980791 · Publicação no Twitter
• https://t.me/CVEtracker/52004 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-fqrj-m88p-qf3v · Aviso do Fabricante