PT-2026-49025 · Openclaw · Openclaw

Ad Actum + 1 · CVE-2026-53821 · Publicado 2026-06-12 · Atualizado 2026-07-02

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.5.18

Description O software aceita escopos de operador declarados pelo cliente WebSocket antes da vinculação a um emparelhamento aprovado pelo servidor ou a uma linha de base de autorização de proxy confiável. Isso permite que clientes de Interface de Controle (Control UI) não emparelhados ou com proxy confiável restrito obtenham autoridade operator.admin em cache em conexões WebSocket ativas, permitindo a execução de RPCs de Gateway restritos a administradores.

Recommendations Atualize para a versão 2026.5.18.

Exploit

Correção

Missing Authorization

Incorrect Authorization

Enumeração de Fraquezas

CWE-862

CWE-863

Identificadores relacionados

CVE-2026-53821

GHSA-QJPC-QF9M-XWMR

Produtos afetados

Openclaw

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/53xxx/CVE-2026-53821.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-qjpc-qf9m-xwmr · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2066216132961263834 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-53821 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qjpc-qf9m-xwmr · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-53821 · Nota de Segurança
• https://reddit.com/r/pwnhub/comments/1u4qf0e/critical_openclaw_vulnerability_allows · Publicação no Reddit
• https://vulncheck.com/advisories/openclaw-scope-elevation-in-trusted-proxy-control-ui-websocket · Nota