PT-2026-35778 · Openclaw · Openclaw

Davidluzsilva · Publicado 2026-04-02 · Atualizado 2026-04-30 · CVE-2026-41394

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Existe uma falha de bypass de autenticação onde rotas HTTP 'plugin-auth' não autenticadas recebem escopos de gravação de tempo de execução do operador. Isso permite que usuários não autorizados acessem essas rotas e realizem ações de tempo de execução privilegiadas destinadas a operadores autorizados.

Recomendações Atualize para a versão 2026.3.31 ou posterior.

Correção

Missing Authorization

Improper Privilege Management

Enumeração de Fraquezas

CWE-862

CWE-269

Identificadores relacionados

CVE-2026-41394

GHSA-MHGQ-XPFQ-6R66

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mhgq-xpfq-6r66 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/2a1db0c0f1fa375004a95ba0ef030534790a6d47 · Correção
• https://vulncheck.com/advisories/openclaw-unauthorized-operator-scope-access-in-unauthenticated-plugin-auth-routes · Nota
• https://t.me/cveNotify/161652 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-mhgq-xpfq-6r66 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41394 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049227526455566583 · Publicação no Twitter