PT-2026-44891 · Openclaw · Device-Pair Plugin+1

Dikai Zou · CVE-2026-32905 · Publicado 2026-05-29 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.5.4

Description Existe uma falha de bypass de autorização no plugin device-pair integrado. Este problema permite que remetentes de chat autorizados, que não sejam proprietários, emitam códigos de bootstrap de emparelhamento de dispositivos devido à falta de validação adequada de escopo. Atacantes com acesso a comandos de chat podem criar códigos de configuração para registrar dispositivos com capacidades de operador ou nó, concedendo credenciais persistentes até que sejam removidos manualmente.

Recommendations Atualize para a versão 2026.5.4 ou posterior.

Exploit

Correção

Missing Authorization

Incorrect Authorization

Enumeração de Fraquezas

CWE-862

CWE-863

Identificadores relacionados

CVE-2026-32905

GHSA-XR4F-MJXJ-W6W5

Produtos afetados

Openclaw

Device-Pair Plugin

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/32xxx/CVE-2026-32905.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-xr4f-mjxj-w6w5 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2072748370095972687 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-32905 · Nota de Segurança
• https://vulncheck.com/advisories/openclaw-unauthorized-device-pairing-bootstrap-code-issuance-via-chat-command · Nota
• https://osv.dev/vulnerability/CVE-2026-32905 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-xr4f-mjxj-w6w5 · Aviso do Fabricante
• https://t.me/cveNotify/209133 · Publicação no Telegram