PT-2026-39684 · Openclaw · Openclaw

Garagon · Publicado 2026-04-25 · Atualizado 2026-05-11 · CVE-2026-44995

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.20

Descrição A validação inadequada de variáveis de ambiente na configuração do servidor MCP stdio permite a execução de código arbitrário. Configurações de espaço de trabalho maliciosas podem passar variáveis de inicialização perigosas, como NODE OPTIONS, LD PRELOAD ou BASH ENV, para processos do servidor MCP iniciados, permitindo a injeção de código quando os operadores iniciam sessões usando esses servidores.

Recomendações Atualize para a versão 2026.4.20.

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-829

CWE-427

CWE-454

Identificadores relacionados

CVE-2026-44995

GHSA-MJ59-H3Q9-GHFH

GHSA-P3M6-JR2H-HHXJ

Produtos afetados

Openclaw

Referências · 10

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/85d86ebc4bf3d2226d39d132a484f4f7a299fa1b · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mj59-h3q9-ghfh · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/62fa5071896e95edc7f67d1cebc70a2859e283af · Correção
• https://t.me/CVEtracker/53381 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-arbitrary-code-execution-via-mcp-stdio-environment-variables · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-44995 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-p3m6-jr2h-hhxj · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mj59-h3q9-ghfh · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053932439144394933 · Publicação no Twitter