PT-2026-35553 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-02 · Atualizado 2026-04-28 · CVE-2026-41365

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Description Existe uma falha de bypass de lista de permissões de remetente na integração do MS Teams ao buscar o histórico de threads via Graph API. Isso permite que atacantes recuperem mensagens de threads que deveriam ser filtradas por listas de permissões de remetente, ignorando as restrições de filtragem de mensagens.

Recommendations Atualize para a versão 2026.3.31.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

CWE-441

Identificadores relacionados

CVE-2026-41365

GHSA-8PF2-VJ79-4WXG

GHSA-CHFM-XGC4-47RJ

Produtos afetados

Openclaw

Referências · 11

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-chfm-xgc4-47rj · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/5cca38084074fb5095aa11b6a59820d63e4937c9 · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://osv.dev/vulnerability/GHSA-8pf2-vj79-4wxg · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-chfm-xgc4-47rj · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049078204254609676 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2049035650255790582 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41365 · Nota de Segurança
• https://t.me/CVEtracker/52007 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-sender-allowlist-bypass-via-graph-api-thread-history · Nota