PT-2026-35778 · Openclaw · Openclaw

Davidluzsilva · CVE-2026-41394 · Publicado 2026-04-02 · Atualizado 2026-04-30

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.8

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Existe uma falha de bypass de autenticação onde rotas HTTP 'plugin-auth' não autenticadas recebem escopos de gravação de tempo de execução do operador. Isso permite que usuários não autorizados acessem essas rotas e realizem ações de tempo de execução privilegiadas destinadas a operadores autorizados.

Recomendações Atualize para a versão 2026.3.31 ou posterior.

Exploit

Correção

Improper Privilege Management

Missing Authorization

Enumeração de Fraquezas

CWE-269

CWE-862

Identificadores relacionados

CVE-2026-41394

GHSA-MHGQ-XPFQ-6R66

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41394.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mhgq-xpfq-6r66 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/2a1db0c0f1fa375004a95ba0ef030534790a6d47 · Correção
• https://t.me/cveNotify/161652 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2049227526455566583 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mhgq-xpfq-6r66 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-41394 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41394 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-unauthorized-operator-scope-access-in-unauthenticated-plugin-auth-routes · Nota