PT-2026-35788 · Openclaw · Openclaw

Antaisecuritylab · Publicado 2026-04-03 · Atualizado 2026-04-30 · CVE-2026-41405

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.31

Descrição O OpenClaw analisa os corpos de requisição de webhooks do MS Teams antes de realizar a validação do JSON Web Token (JWT)—um processo utilizado para verificar a identidade do remetente. Isso permite que atacantes remotos não autenticados enviem payloads maliciosos de webhooks do Teams para causar exaustão de recursos, que ocorre quando os recursos disponíveis de um sistema são consumidos, podendo levar a uma negação de serviço.

Recomendações Atualize para a versão 2026.3.31.

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-408

CWE-400

Identificadores relacionados

CVE-2026-41405

GHSA-P464-M8X6-VHV8

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/3834d47099dd13c8244ed6de8b9ea9855c553623 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-p464-m8x6-vhv8 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/releases/tag/v2026.3.31 · Nota
• https://vulncheck.com/advisories/openclaw-resource-exhaustion-via-unauthenticated-ms-teams-webhook-body-parsing · Nota
• https://twitter.com/VulmonFeeds/status/2049319377414115410 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-p464-m8x6-vhv8 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-41405 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049227515688849457 · Publicação no Twitter
• https://t.me/cveNotify/161622 · Publicação no Telegram