PT-2026-49025 · Openclaw · Openclaw

Ad Actum + 1 · Publicado 2026-06-12 · Atualizado 2026-06-14 · CVE-2026-53821

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.5.18

Description O software aceita escopos de operador declarados pelo cliente WebSocket antes da vinculação a um emparelhamento aprovado pelo servidor ou a uma linha de base de autorização de proxy confiável. Isso permite que clientes de Interface de Controle (Control UI) não emparelhados ou com proxy confiável restrito obtenham autoridade operator.admin em cache em conexões WebSocket ativas, permitindo a execução de RPCs de Gateway restritos a administradores.

Recommendations Atualize para a versão 2026.5.18.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-53821

Produtos afetados

Openclaw

Referências · 5

• https://github.com/openclaw/openclaw/security/advisories/GHSA-qjpc-qf9m-xwmr · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-53821 · Nota de Segurança
• https://twitter.com/CVEnew/status/2066216132961263834 · Publicação no Twitter
• https://reddit.com/r/pwnhub/comments/1u4qf0e/critical_openclaw_vulnerability_allows · Publicação no Reddit
• https://vulncheck.com/advisories/openclaw-scope-elevation-in-trusted-proxy-control-ui-websocket · Nota