PT-2026-38247 · Openclaw · Openclaw

Foodlook · Publicado 2026-04-25 · Atualizado 2026-05-07 · CVE-2026-44114

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.20

Descrição O OpenClaw não reserva adequadamente o namespace de ambiente de controle de tempo de execução OPENCLAW em arquivos dotenv do workspace. Isso permite que atacantes substituam variáveis críticas de tempo de execução. Por exemplo, workspaces maliciosos podem definir variáveis como OPENCLAW GIT DIR para manipular o comportamento confiável do tempo de execução durante fluxos de instalador ou processos de atualização de fonte.

Recomendações Atualize para a versão 2026.4.20.

Correção

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-44114

GHSA-9R9J-3R2W-FG3V

GHSA-HXVM-XJVF-93F3

Produtos afetados

Openclaw

Referências · 11

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-hxvm-xjvf-93f3 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/018494fa3ebb9145112e68b56fe1cb2e9f9a9ed6 · Correção
• https://osv.dev/vulnerability/GHSA-9r9j-3r2w-fg3v · Aviso do Fabricante
• https://t.me/CVEtracker/52908 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-44114 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-environment-variable-namespace-collision-via-workspace-dotenv · Nota
• https://twitter.com/CVEnew/status/2052430106480525598 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052135927741341806 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-hxvm-xjvf-93f3 · Aviso do Fabricante
• https://t.me/cveNotify/162590 · Publicação no Telegram