PT-2026-35769 · Openclaw · Openclaw

Edward-X · Publicado 2026-04-07 · Atualizado 2026-05-01 · CVE-2026-41384

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.24

Descrição Um problema de injeção de variável de ambiente existe no executor do backend CLI. Atacantes podem usar configurações de workspace maliciosas para injetar variáveis de ambiente arbitrárias na geração do processo de backend, o que pode levar à execução de código ou à exposição de dados sensíveis.

Recomendações Atualizar para a versão 2026.3.24.

Correção

Untrusted Search Path

Enumeração de Fraquezas

CWE-426

CWE-15

Identificadores relacionados

CVE-2026-41384

GHSA-VFW7-6RHC-6XXG

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/c2fb7f1948c3226732a630256b5179a60664ec24 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-vfw7-6rhc-6xxg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41384 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-environment-variable-injection-via-workspace-config-in-cli-backend · Nota
• https://twitter.com/CVEnew/status/2049227536245072337 · Publicação no Twitter
• https://t.me/cveNotify/161768 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vfw7-6rhc-6xxg · Aviso do Fabricante