PT-2026-38245 · Openclaw+1 · Openclaw+1

Vladimir Tokarev · Publicado 2026-04-23 · Atualizado 2026-05-29 · CVE-2026-44112

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.6

Crítica

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.22

Description Uma condição de corrida de tempo de verificação/tempo de uso (TOCTOU) existe nas gravações do sistema de arquivos do sandbox OpenShell. Essa falha permite que invasores utilizem trocas de links simbólicos (symlinks) durante operações de sistema de arquivos para ignorar as restrições do sandbox e redirecionar gravações para fora da raiz de montagem local pretendida.

Recommendations Atualize para a versão 2026.4.22.

Correção

Time Of Check To Time Of Use

Enumeração de Fraquezas

CWE-367

Identificadores relacionados

BDU:2026-08024

CVE-2026-44112

GHSA-6F72-9GXX-98MJ

GHSA-WPPJ-C6MR-83JJ

Produtos afetados

Openclaw

Openshell

Referências · 21

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/7be82d4fd1193bcb7e44ee38838f00bf924ffa76 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-wppj-c6mr-83jj · Aviso do Fabricante
• https://t.me/cveNotify/163341 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2026-08024 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2026-44112 · Nota de Segurança
• https://t.me/true_secator/8221 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2052430108569292959 · Publicação no Twitter
• https://vulncheck.com/advisories/openclaw-symlink-swap-race-condition-in-openshell-fs-bridge-writes · Nota
• https://twitter.com/brandonbango/status/2055344980835614796 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1tdyfar/openclaw_vulnerabilities_enable_data_theft_and · Publicação no Reddit
• https://twitter.com/humanaifusion/status/2056413313970450451 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-6f72-9gxx-98mj · Aviso do Fabricante
• https://twitter.com/bensen/status/2055425611745640918 · Publicação no Twitter
• https://t.me/CVEtracker/52906 · Publicação no Telegram