PT-2026-39695 · Openclaw · Openclaw

Keensecuritylab · Publicado 2026-05-11 · Atualizado 2026-05-11 · CVE-2026-45006

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.23

Descrição Um controle de acesso inadequado nas operações 'config.apply' e 'config.patch' da ferramenta de gateway permite que modelos comprometidos ignorem uma proteção de denylist incompleta. Isso possibilita a gravação de alterações de configuração inseguras que persistem após a reinicialização, afetando potencialmente a execução de comandos, o comportamento da rede, credenciais e políticas do operador.

Recomendações Atualize para a versão 2026.4.23.

Correção

Incomplete List of Disallowed Inputs

Enumeração de Fraquezas

CWE-184

Identificadores relacionados

CVE-2026-45006

Produtos afetados

Openclaw

Referências · 6

• https://github.com/openclaw/openclaw/commit/bceda6089aa7b3695cc7696b43c61ae3d01bb0ec · Correção
• https://github.com/openclaw/openclaw/security/advisories/GHSA-cwj3-vqpp-pmxr · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-unsafe-config-mutation-via-gateway-tool-denylist-bypass · Correção
• https://t.me/CVEtracker/53392 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-45006 · Nota de Segurança
• https://twitter.com/CVEnew/status/2053932427941490820 · Publicação no Twitter