PT-2026-41031 · Crabbox · Crabbox

Publicado 2026-05-14 · Atualizado 2026-06-25 · CVE-2026-8634

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Crabbox versões anteriores a 0.12.0

Descrição Um problema de exposição de variáveis de ambiente permite que atacantes com acesso a um repositório malicioso ou comprometido encaminhem segredos locais, como tokens de API, credenciais de nuvem e tokens de broker, para o ambiente de comando remoto. Isso ocorre devido a uma lista de permissões de variáveis de ambiente excessivamente permissiva na configuração local do repositório, o que possibilita a serialização de variáveis de ambiente sensíveis na execução de comandos remotos, expondo as credenciais ao ambiente remoto.

Recomendações Atualize para a versão 0.12.0 ou posterior.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-8634

GHSA-FM77-94QM-4894

GO-2026-5369

Produtos afetados

Crabbox

Referências · 12

• 🔥 https://github.com/openclaw/crabbox/pull/78 · Exploit
• https://github.com/openclaw/crabbox/releases/tag/v0.12.0 · Nota
• https://github.com/openclaw/crabbox/commit/eaae40ae4ce009e60633f16f7f19600c74557f6f · Correção
• https://github.com/openclaw/crabbox · Nota
• https://twitter.com/OrizonCyber/status/2055098353944240145 · Publicação no Twitter
• https://osv.dev/vulnerability/GO-2026-5369 · Aviso do Fabricante
• https://twitter.com/UpwindMDR/status/2055171095506927825 · Publicação no Twitter
• https://vulncheck.com/advisories/crabbox-environment-variable-information-disclosure · Nota
• https://osv.dev/vulnerability/GHSA-fm77-94qm-4894 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-8634 · Nota de Segurança
• https://github.com/advisories/GHSA-fm77-94qm-4894 · Nota
• https://t.me/CVEtracker/53830 · Publicação no Telegram