PT-2026-35772 · Openclaw · Openclaw

Tdjackey · Publicado 2026-03-31 · Atualizado 2026-04-28 · CVE-2026-41387

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.22

Descrição A sanitização incompleta de variáveis de ambiente do host em host-env-security-policy.json e host-env-security.ts permite a sobreposição do ambiente do gerenciador de pacotes. Isso permite que invasores utilizem solicitações de execução aprovadas para redirecionar a resolução de pacotes ou a inicialização do tempo de execução para infraestruturas sob seu controle, levando à execução de conteúdo trojanizado.

Recomendações Atualize para a versão 2026.3.22.

Correção

Enumeração de Fraquezas

CWE-183

Identificadores relacionados

CVE-2026-41387

GHSA-J7P2-QCWM-94V4

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-j7p2-qcwm-94v4 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.22 · Nota
• https://github.com/openclaw/openclaw/commit/7abfff756d6c68d17e21d1657bbacbaec86de232 · Nota
• https://twitter.com/CVEnew/status/2049227533145587832 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-j7p2-qcwm-94v4 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41387 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-supply-chain-redirection-via-incomplete-host-environment-sanitization · Nota