PT-2026-39694 · Openclaw · Openclaw

Feynman-Hou · Publicado 2026-05-05 · Atualizado 2026-05-11 · CVE-2026-45005

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.0

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:L

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.23

Descrição O software armazena em cache segredos de rotas de webhook resolvidos e baseados em valores SecretRef. Esse comportamento permite que segredos obsoletos permaneçam válidos mesmo após terem sido rotacionados e recarregados. Consequentemente, um invasor que possua segredos de rotas de webhook anteriormente válidos pode continuar a autenticar solicitações e invocar fluxos de tarefas de webhook configurados até que o gateway ou o plugin seja reiniciado.

Recomendações Atualize para a versão 2026.4.23 ou posterior. Como medida paliativa temporária, reinicie o gateway ou o plugin para limpar os segredos armazenados em cache.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-672

CWE-613

Identificadores relacionados

CVE-2026-45005

GHSA-Q8FF-7FFM-M3R9

GHSA-V8J2-5F9P-FMH4

Produtos afetados

Openclaw

Referências · 9

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-q8ff-7ffm-m3r9 · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/36c4a372a0ad5dca8bfc0d93f7aab9c2f2de66fa · Correção
• https://vulncheck.com/advisories/openclaw-webhook-route-secret-cache-not-invalidated-after-rotation · Correção
• https://t.me/CVEtracker/53391 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-q8ff-7ffm-m3r9 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v8j2-5f9p-fmh4 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2053932429166186546 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-45005 · Nota de Segurança