PT-2026-35794 · Openclaw · Openclaw

Ccreater + 2 · Publicado 2026-04-09 · Atualizado 2026-04-30 · CVE-2026-41912

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.6

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição Uma falha de bypass de política de server-side request forgery (SSRF) permite que atacantes desencadeiem navegações que burlam as verificações normais de SSRF. Ao explorar interações do navegador, atacantes podem contornar essas proteções para acessar recursos restritos. SSRF é uma falha onde um atacante pode forçar um aplicativo do lado do servidor a fazer requisições HTTP para um domínio arbitrário escolhido pelo atacante.

Recomendações Atualize para a versão 2026.4.8.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-41912

GHSA-VR5G-MMX7-H897

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-vr5g-mmx7-h897 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-vr5g-mmx7-h897 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-policy-bypass-via-interaction-triggered-navigation · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-41912 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049321936853885297 · Publicação no Twitter
• https://t.me/cveNotify/161628 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2049227509120577622 · Publicação no Twitter