PT-2026-35550 · Openclaw · Openclaw

Keensecuritylab + 2 · Publicado 2026-04-27 · Atualizado 2026-04-28 · CVE-2026-41362

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões 2026.2.19 a 2026.3.30

Descrição Um problema de isolamento inadequado de cache existe no mecanismo de replay-dedupe do webhook Zalo, que é compartilhado entre alvos de webhook autenticados. Em implantações de múltiplas contas, um invasor que controle um caminho de webhook Zalo autenticado pode suprimir eventos legítimos em outras contas ao corresponder aos parâmetros event name e message id.

Recomendações Atualize para a versão 2026.3.31.

Correção

Exposure of Resource to Wrong Sphere

Enumeração de Fraquezas

CWE-668

Identificadores relacionados

CVE-2026-41362

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw/security/advisories/GHSA-fqrj-m88p-qf3v · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/7cea7c29705b188b464cc9cdc107c275b94b2a72 · Correção
• https://github.com/openclaw/openclaw/commit/4d038bb242c11f39e45f6a4bde400e5fd42e4ebf · Correção
• https://t.me/CVEtracker/52004 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-webhook-replay-dedupe-cache-event-suppression-via-shared-authentication · Nota
• https://twitter.com/VulmonFeeds/status/2049080764029980791 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2049027310016467086 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41362 · Nota de Segurança