PT-2026-38230 · Openclaw · Openclaw

Keensecuritylab + 1 · Publicado 2026-05-06 · Atualizado 2026-05-14 · CVE-2026-43575

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões 2026.2.21 a 2026.4.9

Descrição Existe uma falha de bypass de autenticação na rota do auxiliar noVNC do sandbox, que expõe credenciais de sessão de navegador interativo. Isso permite que atacantes acessem a rota do auxiliar noVNC sem a autenticação da ponte para obter acesso não autorizado à sessão do navegador interativo.

Recomendações Atualizar para a versão 2026.4.10.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-43575

Produtos afetados

Openclaw

Referências · 11

• https://github.com/openclaw/openclaw/security/advisories/GHSA-92jp-89mq-4374 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/8dfbf3268bd224b7377d1ecca77a445100746085 · Correção
• https://twitter.com/PurpleOps_io/status/2052245139209253372 · Publicação no Twitter
• https://twitter.com/OrizonCyber/status/2052146406639485342 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054770211232870453 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-authentication-bypass-in-sandbox-novnc-helper-route · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-43575 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2054770210284958114 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052179444429709723 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2052430122490196357 · Publicação no Twitter
• https://twitter.com/lyrie_ai/status/2054770208498122914 · Publicação no Twitter