PT-2026-35559 · Openclaw · Openclaw

Peng Zhou · Publicado 2026-04-27 · Atualizado 2026-06-05 · CVE-2026-41371

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.28

Descrição Verificações de autorização inadequadas no caminho 'chat.send' permitem que chamadores de gateway com escopo de escrita realizem operações de redefinição de sessão exclusivas de administradores. Isso permite que invasores rotacionem sessões de destino, arquivem estados de transcrição anteriores e forcem a geração de novos IDs de sessão sem possuir o escopo de administrador necessário.

Recomendações Atualize para a versão 2026.3.28 ou posterior. Como medida paliativa temporária, restrinja o acesso à função 'chat.send' para minimizar o risco de redefinições de sessão não autorizadas.

Correção

LPE

RCE

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2026-41371

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw/security/advisories/GHSA-5r8f-96gm-5j6g · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41371 · Nota de Segurança
• https://twitter.com/Tank23x0/status/2062958380684394917 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-chat-send-reset-command · Nota
• https://twitter.com/VulmonFeeds/status/2049055163512435183 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1syn4iy/critical_privilege_escalation_vulnerability · Publicação no Reddit
• https://twitter.com/CCBalert/status/2049132470788874713 · Publicação no Twitter
• https://t.me/CVEtracker/52013 · Publicação no Telegram
• https://twitter.com/CVEarity/status/2049052360950026376 · Publicação no Twitter