PT-2026-39680 · Openclaw · Openclaw

Keensecuritylab · Publicado 2026-04-29 · Atualizado 2026-05-11 · CVE-2026-44991

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.21

Descrição Existe uma falha de bypass de autorização em command-auth.ts que permite que remetentes que não são proprietários executem comandos slash impostos ao proprietário. Isso ocorre quando remetentes de entrada com curingas (wildcards) são configurados sem definições explícitas de allowFrom do proprietário. Atacantes podem ignorar as verificações de autorização exclusivas do proprietário enviando comandos como '/send', '/config' ou '/debug' em canais afetados.

Recomendações Atualize para a versão 2026.4.21.

Correção

Missing Authorization

Incorrect Authorization

Enumeração de Fraquezas

CWE-862

CWE-863

Identificadores relacionados

CVE-2026-44991

GHSA-C28G-VH7M-FM7V

GHSA-P3PV-C954-9M6F

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/2aa93d44a1b2c7058c371f261fda2b5d4de4a882 · Correção
• https://github.com/openclaw/openclaw/commit/995febb7b1e811ff6a1df5b18c22de94103f4c9f · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-c28g-vh7m-fm7v · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-authorization-bypass-in-owner-enforced-commands-via-wildcard-channel-senders · Correção
• https://osv.dev/vulnerability/GHSA-p3pv-c954-9m6f · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053932443019976887 · Publicação no Twitter
• https://t.me/CVEtracker/53377 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-c28g-vh7m-fm7v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44991 · Nota de Segurança