PT-2026-35793 · Openclaw · Openclaw

Rosayxy · Publicado 2026-04-09 · Atualizado 2026-04-30 · CVE-2026-41911

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição Existe uma falha de bypass de política de sistema de arquivos no processamento de uploads de arquivos docx, permitindo a leitura de arquivos locais fora dos limites do workspace. Isso permite que atacantes acessem arquivos além da política de sistema de arquivos restrita ao workspace por meio dos endpoints 'upload file' e 'upload image'.

Recomendações Atualize para a versão 2026.4.8 ou posterior. Restrinja o acesso aos endpoints 'upload file' e 'upload image' para minimizar o risco de exploração.

Correção

Path traversal

Incorrect Permission

Enumeração de Fraquezas

CWE-22

CWE-732

Identificadores relacionados

CVE-2026-41911

GHSA-5FC7-F62M-8983

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-5fc7-f62m-8983 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049316817877750139 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41911 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-5fc7-f62m-8983 · Aviso do Fabricante
• https://t.me/cveNotify/161627 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-workspace-only-filesystem-policy-bypass-via-docx-upload-file-upload-image · Nota
• https://twitter.com/CVEnew/status/2049227510181736819 · Publicação no Twitter