PT-2026-39689 · Openclaw · Openclaw

Nicky · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-45000

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.0

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.20

Descrição Existe um problema na criação de perfis CDP do navegador que permite a falsificação de solicitação do lado do servidor (SSRF), uma falha onde um servidor é enganado para fazer solicitações a um local não pretendido. Isso ocorre porque as verificações de política de SSRF do modo estrito são ignoradas, permitindo que invasores criem perfis armazenados apontando para endpoints de metadados ou redes privadas que ignoram as políticas de segurança. Esses perfis são posteriormente sondados durante as operações normais de status do perfil.

Recomendações Atualize para a versão 2026.4.20.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2026-45000

Produtos afetados

Openclaw

Referências · 7

• https://github.com/openclaw/openclaw/security/advisories/GHSA-j4c5-89f5-f3pm · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/e90c89cf8b1459f2aa1f3a665be67392b6c03fdf · Correção
• https://github.com/openclaw/openclaw/commit/1fd049e3074cac72f6734a7fe88468c84f5f8bd7 · Correção
• https://twitter.com/CVEnew/status/2053932434161643589 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45000 · Nota de Segurança
• https://t.me/CVEtracker/53386 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-server-side-request-forgery-via-browser-cdp-profile-creation · Correção