PT-2026-35781 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-03 · Atualizado 2026-04-30 · CVE-2026-41397

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Uma fuga de sandbox permite que atacantes atravessem limites de diretório por meio da exploração de links simbólicos (symlinks) durante operações de sincronização de arquivos. Atacantes remotos podem ignorar as restrições do sandbox criando links simbólicos maliciosos em operações de sincronização de espelhamento para acessar arquivos arbitrários fora dos limites pretendidos.

Recomendações Atualize para a versão 2026.3.31.

Correção

Unrestricted File Upload

Link Following

Enumeração de Fraquezas

CWE-434

CWE-59

Identificadores relacionados

CVE-2026-41397

GHSA-CWF8-44X6-32C2

Produtos afetados

Openclaw

Referências · 11

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-cwf8-44x6-32c2 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/c02ee8a3a4cb390b23afdf21317aa8b2096854d1 · Correção
• https://github.com/openclaw/openclaw/commit/3b9dab0ece4643a9643e6a45459f5c709d3ce320 · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://twitter.com/VulmonFeeds/status/2049332175527387404 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049227523083403678 · Publicação no Twitter
• https://t.me/cveNotify/161655 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-sandbox-escape-via-unrestricted-file-sync-and-symlink-traversal · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41397 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cwf8-44x6-32c2 · Aviso do Fabricante