PT-2026-35782 · Openclaw · Openclaw

Keensecuritylab + 2 · Publicado 2026-04-07 · Atualizado 2026-04-30 · CVE-2026-41398

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.9

Média

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.2

Descrição Um problema de controle de acesso inadequado existe na ponte iOS A2UI, que trata incorretamente páginas genéricas de rede local como origens confiáveis. Isso permite que invasores injetem execuções não autorizadas de agent.request ao carregar páginas controladas por invasores de hosts da tailnet ou da rede local, resultando na poluição do estado da sessão e no consumo de orçamento.

Recomendações Atualize para a versão 2026.4.2.

Correção

Improper Access Control

Origin Validation Error

Enumeração de Fraquezas

CWE-284

CWE-346

Identificadores relacionados

CVE-2026-41398

GHSA-4P4F-FC8Q-84M3

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-4p4f-fc8q-84m3 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/49d08382a90f71dabe2877b3f6729ad85f808d57 · Correção
• https://osv.dev/vulnerability/GHSA-4p4f-fc8q-84m3 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2049227521946738702 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41398 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-unauthorized-agent-request-dispatch-via-untrusted-local-network-pages-in-ios-a2ui-bridge · Nota
• https://t.me/cveNotify/161595 · Publicação no Telegram