PT-2026-35786 · Openclaw · Openclaw

Keensecuritylab + 1 · CVE-2026-41403 · Publicado 2026-04-03 · Atualizado 2026-04-29

Positive Technologies (AI Summary) · Pt

CVSS v4.0

6.3

Média

Vetor base

AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição Quando allowRemoteViewer está desativado, o visualizador de diffs classifica incorretamente requisições remotas via proxy como conexões de loopback. Isso permite que atacantes ignorem controles de acesso ao enviar requisições via proxy que são identificadas erroneamente como tráfego de loopback local, concedendo acesso não autorizado ao contornar as restrições do visualizador remoto.

Recomendações Atualize para a versão 2026.3.31.

Exploit

Correção

Enumeração de Fraquezas

CWE-348

CWE-807

Identificadores relacionados

CVE-2026-41403

GHSA-3XV9-89FM-7H4R

Produtos afetados

Openclaw

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41403.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/30a1690323088fd291abd11643a264a6828a002c · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-3xv9-89fm-7h4r · Aviso do Fabricante
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://vulncheck.com/advisories/openclaw-access-control-bypass-via-proxied-remote-request-misclassification · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41403 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3xv9-89fm-7h4r · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2049227517773377668 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2049329615710146690 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-41403 · Aviso do Fabricante