PT-2026-35765 · Openclaw · Openclaw

Keensecuritylab + 2 · Publicado 2026-04-01 · Atualizado 2026-05-01 · CVE-2026-41380

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.28

Descrição Um problema de aprovação de execução existe em exec-approvals-allowlist.ts, onde a persistência de permissão total (allow-always) confia em executáveis transportadores de wrapper em vez dos alvos invocados. Isso permite que invasores utilizem o roteamento de executáveis transportadores posicionais através de wrappers de despacho para criar entradas de lista de permissões mais amplas do que o pretendido, enfraquecendo os limites de aprovação de execução.

Recomendações Atualize para a versão 2026.3.28.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

CWE-807

Identificadores relacionados

CVE-2026-41380

GHSA-P4X4-2R7F-WJXG

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-p4x4-2r7f-wjxg · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/9ec44fad390f0bc1c29c3cc418b322560cb0222b · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.28 · Nota
• https://osv.dev/vulnerability/GHSA-p4x4-2r7f-wjxg · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-arbitrary-execution-allowlist-via-wrapper-carrier-executables · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41380 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049227540368122360 · Publicação no Twitter
• https://t.me/cveNotify/161764 · Publicação no Telegram