PT-2026-44896 · Openclaw · Openclaw

Dikai Zou · CVE-2026-35630 · Publicado 2026-05-29 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.0

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.5.18

Description Existe uma falha de bypass de autorização nos botões de aprovação nativos do QQBot. O caminho de callback do botão não impõe a identidade do aprovador configurado, permitindo que usuários que não são aprovadores autorizados cliquem nos botões de aprovação e resolvam solicitações de aprovação de exec ou plugins pendentes. Este problema é específico para os botões de aprovação nativos do QQBot e não afeta o caminho de aprovação por comando de texto. Isso ocorre em implantações onde os botões de aprovação nativos estão habilitados e visíveis para usuários do QQ não autorizados.

Recommendations Atualize para a versão 2026.5.18 ou posterior. Evite enviar botões de aprovação nativos em conversas do QQ que incluam usuários que não devem ter permissão para aprovar.

Exploit

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-35630

GHSA-HX4V-668P-G2QR

GHSA-MGQ6-VR84-7M2J

Produtos afetados

Openclaw

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/35xxx/CVE-2026-35630.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mgq6-vr84-7m2j · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-35630 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-mgq6-vr84-7m2j · Aviso do Fabricante
• https://t.me/cveNotify/209137 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-hx4v-668p-g2qr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-35630 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-qqbot-missing-approver-identity-enforcement-in-native-approval-buttons · Nota