PT-2026-35807 · Openclaw · Openclaw

Keensecuritylab + 1 · CVE-2026-42429 · Publicado 2026-04-09 · Atualizado 2026-04-28

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.8

Descrição Um problema de escalonamento de privilégios existe no mecanismo de autenticação HTTP do plugin de gateway. Esta falha permite que solicitações operator.read com identidade sejam ampliadas para permissões de runtime operator.write. Um invasor pode explorar isso enviando solicitações de escopo de leitura através da rota de autenticação do gateway para obter acesso de gravação não autorizado a operações de runtime.

Recomendações Atualize para a versão 2026.4.8 ou posterior.

Exploit

Correção

LPE

Improper Privilege Management

Incorrect Authorization

Enumeração de Fraquezas

CWE-269

CWE-863

Identificadores relacionados

CVE-2026-42429

GHSA-4F8G-77MW-3RXC

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/42xxx/CVE-2026-42429.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/d7c3210cd6f5fdfdc1beff4c9541673e814354d5 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-4f8g-77mw-3rxc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42429 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-42429 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-gateway-plugin-http-authentication · Nota
• https://osv.dev/vulnerability/GHSA-4f8g-77mw-3rxc · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2049275861271036293 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2049227495111602291 · Publicação no Twitter