PT-2026-38249 · Openclaw · Openclaw+1

Foodlook · Publicado 2026-05-04 · Atualizado 2026-05-07 · CVE-2026-44116

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.22

Descrição Um problema de server-side request forgery (SSRF) existe no plugin Zalo. A função sendPhoto() falha ao validar URLs de fotos externas através da guarda de SSRF. Isso permite que atacantes ignorem a proteção fornecendo URLs de fotos maliciosas para a API do Zalo Bot, possivelmente permitindo o acesso não autorizado a recursos internos.

Recomendações Atualize para a versão 2026.4.22 ou posterior. Como medida paliativa temporária, restrinja o acesso à função sendPhoto() no plugin Zalo.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-44116

GHSA-2HH7-C75G-QJ2R

GHSA-QVMW-H675-H7QG

Produtos afetados

Openclaw

Zalo Plugin

Referências · 11

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/a65eb1b864b7630c1242a82de9e5799b80583c3f · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-2hh7-c75g-qj2r · Aviso do Fabricante
• https://t.me/cveNotify/162592 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2052430104408523115 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2052130807607652861 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-44116 · Nota de Segurança
• https://t.me/CVEtracker/52910 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-in-zalo-photo-url-validation · Nota
• https://osv.dev/vulnerability/GHSA-qvmw-h675-h7qg · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-2hh7-c75g-qj2r · Aviso do Fabricante