PT-2026-35805 · Openclaw · Openclaw

Boyhack · Publicado 2026-04-09 · Atualizado 2026-04-29 · CVE-2026-42427

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.6

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição A execução remota de código é possível devido à ausência de entradas na lista de negação de variáveis de ambiente. Atacantes podem injetar variáveis de ambiente de ferramentas de compilação maliciosas, especificamente HGRCPATH, CARGO BUILD RUSTC WRAPPER, RUSTC WRAPPER e MAKEFLAGS, para influenciar comandos de execução do host e alcançar a execução de código arbitrário.

Recomendações Atualize para a versão 2026.4.8.

Correção

RCE

Incomplete List of Disallowed Inputs

OS Command Injection

Enumeração de Fraquezas

CWE-184

CWE-78

Identificadores relacionados

CVE-2026-42427

GHSA-7437-7HG8-FRRW

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-7437-7hg8-frrw · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049288660189622374 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049227497154216162 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-42427 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7437-7hg8-frrw · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-remote-code-execution-via-build-tool-environment-variable-injection · Nota