PT-2026-37021 · Openclaw · Openclaw

Keensecuritylab + 1 · CVE-2026-43566 · Publicado 2026-04-17 · Atualizado 2026-05-14

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões 2026.4.7 a 2026.4.13

Descrição Um problema de escalonamento de privilégios ocorre quando a lógica de downgrade de proprietário do heartbeat ignora eventos de despertar de webhook que contêm conteúdo não confiável. Isso permite que invasores enviem eventos de despertar de webhook não confiáveis para manter um contexto de execução semelhante ao de proprietário em cenários onde a execução deveria ter sido rebaixada.

Recomendações Atualize para a versão 2026.4.14.

Exploit

Correção

LPE

Incomplete List of Disallowed Inputs

Incorrect Authorization

Enumeração de Fraquezas

CWE-184

CWE-863

Identificadores relacionados

CVE-2026-43566

GHSA-G2HM-779G-VM32

Produtos afetados

Openclaw

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/43xxx/CVE-2026-43566.json · Exploit
• https://github.com/openclaw/openclaw/security/advisories/GHSA-g2hm-779g-vm32 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/31281bc92f55796817a92bc43f722cba1e77ab42 · Correção
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/pull/66031 · Nota
• https://osv.dev/vulnerability/CVE-2026-43566 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-g2hm-779g-vm32 · Aviso do Fabricante
• https://twitter.com/CCBalert/status/2052032309495308775 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-43566 · Nota de Segurança
• https://t.me/CVEtracker/52736 · Publicação no Telegram
• https://twitter.com/lyrie_ai/status/2054765272544772487 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-privilege-escalation-via-untrusted-webhook-wake-events · Nota