PT-2026-39692 · Openclaw · Openclaw

Qi Deng · Publicado 2026-05-04 · Atualizado 2026-05-11 · CVE-2026-45003

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.3

Média

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.22

Descrição Arquivos dotenv do workspace podem ser usados para sobrescrever os hosts de endpoint do conector para os conectores Matrix, Mattermost, IRC e Synology. Isso permite que invasores com acesso ao workspace redirecionem o tráfego de tempo de execução para endpoints maliciosos configurando variáveis de endpoint nesses arquivos.

Recomendações Atualize para a versão 2026.4.22.

Correção

Uncontrolled Search Path Element

Enumeração de Fraquezas

CWE-441

CWE-427

CWE-610

Identificadores relacionados

CVE-2026-45003

GHSA-55CF-XX38-4P9P

GHSA-5JGM-F9WR-9QM7

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/commit/0623079e98abf7202591f1b04a89755eb7ec9272 · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-55cf-xx38-4p9p · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-connector-endpoint-host-override-via-workspace-dotenv-files · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-45003 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-55cf-xx38-4p9p · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053932431217172523 · Publicação no Twitter
• https://t.me/CVEtracker/53389 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-5jgm-f9wr-9qm7 · Aviso do Fabricante