PT-2026-35797 · Openclaw · Openclaw

Boyhack · Publicado 2026-04-09 · Atualizado 2026-04-29 · CVE-2026-41915

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição O OpenClaw não remove as variáveis de ambiente de encanamento (plumbing) do git do ambiente de execução antes de realizar operações de execução de host (host exec). Isso permite que invasores definam GIT DIR e variáveis relacionadas para redirecionar operações do git, o que pode comprometer a integridade do repositório.

Recomendações Atualize para a versão 2026.4.8.

Correção

Incomplete List of Disallowed Inputs

OS Command Injection

Enumeração de Fraquezas

CWE-184

CWE-78

Identificadores relacionados

CVE-2026-41915

GHSA-CM8V-2VH9-CXF3

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-cm8v-2vh9-cxf3 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cm8v-2vh9-cxf3 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2049227505874186301 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-41915 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2049301459011772875 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-git-environment-variable-injection-via-unfiltered-exec-environment · Nota