PT-2026-35774 · Openclaw · Openclaw

Longgteng · Publicado 2026-03-31 · Atualizado 2026-04-30 · CVE-2026-41390

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.28

Descrição Existe um bypass de allowlist de execução onde a persistência allow-always falha ao desempacotar /usr/bin/script e wrappers semelhantes antes de armazenar decisões de confiança. Isso permite que atacantes obtenham a aprovação do usuário para um único comando empacotado para persistir a confiança em binários de wrapper que executam programas subjacentes diferentes.

Recomendações Atualize para a versão 2026.3.28.

Correção

Enumeração de Fraquezas

CWE-807

CWE-385

Identificadores relacionados

CVE-2026-41390

GHSA-6PFC-6M7W-M8FX

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-6pfc-6m7w-m8fx · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/83da3cfe31f016841e1deedda1a604696f4c488d · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.28 · Nota
• https://osv.dev/vulnerability/GHSA-6pfc-6m7w-m8fx · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41390 · Nota de Segurança
• https://t.me/cveNotify/161648 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-exec-allowlist-bypass-via-unregistered-usr-bin-script-wrapper · Nota
• https://twitter.com/CVEnew/status/2049227531161649617 · Publicação no Twitter