PT-2026-37016 · Openclaw · Openclaw

Keensecuritylab · Publicado 2026-04-17 · Atualizado 2026-05-05 · CVE-2026-43531

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.9

Descrição Existe um problema de injeção de variáveis de ambiente onde arquivos .env de workspace maliciosos podem definir variáveis de controle de tempo de execução. Isso permite que invasores injetem variáveis que afetam fontes de atualização, URLs de gateway, resolução do ClawHub e caminhos de executáveis do navegador para comprometer o comportamento do aplicativo.

Recomendações Atualize para a versão 2026.4.9 ou posterior.

Correção

Enumeração de Fraquezas

CWE-15

Identificadores relacionados

CVE-2026-43531

GHSA-7WV4-CC7P-JHXC

Produtos afetados

Openclaw

Referências · 8

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/pull/62660 · Nota
• https://github.com/openclaw/openclaw/commit/dbfcef319618158fa40b31cdac386ea34c392c0c · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-7wv4-cc7p-jhxc · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-43531 · Nota de Segurança
• https://t.me/CVEtracker/52731 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-environment-variable-injection-via-workspace-env-file · Nota
• https://osv.dev/vulnerability/GHSA-7wv4-cc7p-jhxc · Aviso do Fabricante