PT-2026-37024 · Openclaw · Openclaw

Peng Zhou · Publicado 2026-04-17 · Atualizado 2026-06-11 · CVE-2026-43569

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.9

Descrição Uma falha de bypass de autenticação permite que plugins de workspace não confiáveis sejam habilitados automaticamente durante o onboarding não interativo quando as escolhas de autenticação do provedor são sobrepostas (shadowed). Isso ocorre porque o sistema pode selecionar uma escolha de autenticação de provedor sobreposta por um plugin de workspace não confiável, habilitando o plugin durante a configuração de autenticação sem o consentimento explícito do usuário.

Recomendações Atualize para a versão 2026.4.9 ou posterior.

Correção

Enumeração de Fraquezas

CWE-829

Identificadores relacionados

CVE-2026-43569

GHSA-939R-RJ45-G2RJ

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/2d97eae53e212ae26f3aebcd6a50ffc6877f770d · Correção
• https://github.com/openclaw/openclaw/pull/62368 · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-939r-rj45-g2rj · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-untrusted-provider-plugin-auto-enablement-via-workspace-provider-auth · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-43569 · Nota de Segurança
• https://t.me/CVEtracker/52739 · Publicação no Telegram
• https://twitter.com/Tank23x0/status/2065131953603653716 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-939r-rj45-g2rj · Aviso do Fabricante