PT-2026-35786 · Openclaw · Openclaw

Keensecuritylab + 1 · Publicado 2026-04-03 · Atualizado 2026-04-29 · CVE-2026-41403

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.0

Média

Vetor base

AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Quando allowRemoteViewer está desativado, o visualizador de diffs classifica incorretamente requisições remotas via proxy como conexões de loopback. Isso permite que atacantes ignorem controles de acesso ao enviar requisições via proxy que são identificadas erroneamente como tráfego de loopback local, concedendo acesso não autorizado ao contornar as restrições do visualizador remoto.

Recomendações Atualize para a versão 2026.3.31.

Correção

Enumeração de Fraquezas

CWE-807

CWE-348

Identificadores relacionados

CVE-2026-41403

GHSA-3XV9-89FM-7H4R

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-3xv9-89fm-7h4r · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/30a1690323088fd291abd11643a264a6828a002c · Correção
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://vulncheck.com/advisories/openclaw-access-control-bypass-via-proxied-remote-request-misclassification · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41403 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049329615710146690 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049227517773377668 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-3xv9-89fm-7h4r · Aviso do Fabricante