PT-2026-35807 · Openclaw · Openclaw

Keensecuritylab + 1 · Publicado 2026-04-09 · Atualizado 2026-04-28 · CVE-2026-42429

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição Um problema de escalonamento de privilégios existe no mecanismo de autenticação HTTP do plugin de gateway. Esta falha permite que solicitações operator.read com identidade sejam ampliadas para permissões de runtime operator.write. Um invasor pode explorar isso enviando solicitações de escopo de leitura através da rota de autenticação do gateway para obter acesso de gravação não autorizado a operações de runtime.

Recomendações Atualize para a versão 2026.4.8 ou posterior.

Correção

LPE

Incorrect Authorization

Improper Privilege Management

Enumeração de Fraquezas

CWE-863

CWE-269

Identificadores relacionados

CVE-2026-42429

GHSA-4F8G-77MW-3RXC

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-4f8g-77mw-3rxc · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-4f8g-77mw-3rxc · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049275861271036293 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-gateway-plugin-http-authentication · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-42429 · Nota de Segurança
• https://twitter.com/CVEnew/status/2049227495111602291 · Publicação no Twitter