PT-2026-35559 · Openclaw · Openclaw

Peng Zhou · CVE-2026-41371 · Publicado 2026-04-01 · Atualizado 2026-06-05

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.5

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.28

Descrição Verificações de autorização inadequadas no caminho 'chat.send' permitem que chamadores de gateway com escopo de escrita realizem operações de redefinição de sessão exclusivas de administradores. Isso permite que invasores rotacionem sessões de destino, arquivem estados de transcrição anteriores e forcem a geração de novos IDs de sessão sem possuir o escopo de administrador necessário.

Recomendações Atualize para a versão 2026.3.28 ou posterior. Como medida paliativa temporária, restrinja o acesso à função 'chat.send' para minimizar o risco de redefinições de sessão não autorizadas.

Exploit

Correção

RCE

LPE

Incorrect Authorization

Improper Access Control

Enumeração de Fraquezas

CWE-863

CWE-284

Identificadores relacionados

CVE-2026-41371

GHSA-5R8F-96GM-5J6G

Produtos afetados

Openclaw

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41371.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-5r8f-96gm-5j6g · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/be00fcfccba108f88dc3d4380146c6e058770b03 · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.28 · Nota
• https://osv.dev/vulnerability/CVE-2026-41371 · Aviso do Fabricante
• https://twitter.com/Tank23x0/status/2062958380684394917 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5r8f-96gm-5j6g · Aviso do Fabricante
• https://twitter.com/CCBalert/status/2049132470788874713 · Publicação no Twitter
• https://twitter.com/CVEarity/status/2049052360950026376 · Publicação no Twitter
• https://t.me/CVEtracker/52013 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2049055163512435183 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1syn4iy/critical_privilege_escalation_vulnerability · Publicação no Reddit
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-chat-send-reset-command · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41371 · Nota de Segurança