PT-2026-35793 · Openclaw · Openclaw

Rosayxy · CVE-2026-41911 · Publicado 2026-04-09 · Atualizado 2026-04-30

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição Existe uma falha de bypass de política de sistema de arquivos no processamento de uploads de arquivos docx, permitindo a leitura de arquivos locais fora dos limites do workspace. Isso permite que atacantes acessem arquivos além da política de sistema de arquivos restrita ao workspace por meio dos endpoints 'upload file' e 'upload image'.

Recomendações Atualize para a versão 2026.4.8 ou posterior. Restrinja o acesso aos endpoints 'upload file' e 'upload image' para minimizar o risco de exploração.

Exploit

Correção

Incorrect Permission

Path traversal

Enumeração de Fraquezas

CWE-732

CWE-22

Identificadores relacionados

CVE-2026-41911

GHSA-5FC7-F62M-8983

RHSA-2026:33771

Produtos afetados

Openclaw

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/41xxx/CVE-2026-41911.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-5fc7-f62m-8983 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://osv.dev/vulnerability/CVE-2026-41911 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2049227510181736819 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-5fc7-f62m-8983 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049316817877750139 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-workspace-only-filesystem-policy-bypass-via-docx-upload-file-upload-image · Nota
• https://t.me/cveNotify/161627 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-41911 · Nota de Segurança