PT-2026-49757 · Openclaw+1 · Openclaw
Edward-X
·
Publicado
2026-06-16
·
Atualizado
2026-06-17
·
CVE-2026-53840
CVSS v3.1
7.1
Alta
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
OpenClaw versões anteriores a 2026.5.12
Description
Um problema de divulgação de informações existe em servidores MCP streamable-http que encaminha cabeçalhos personalizados configurados pelo operador durante redirecionamentos de origem cruzada (cross-origin). Atacantes que controlam ou comprometem um endpoint MCP podem redirecionar solicitações para exfiltrar cabeçalhos sensíveis, como chaves de API ou credenciais de roteamento de locatário, para origens controladas pelo atacante. Isso ocorre em implantações onde um servidor MCP é configurado com
transportType: "streamable-http" e cabeçalhos personalizados sensíveis em mcp.servers.*.headers. O problema é limitado a servidores MCP Streamable HTTP configurados que usam cabeçalhos personalizados e não expõe credenciais não relacionadas.Recommendations
Atualize para a versão 2026.5.12.
Como mitigação temporária, evite usar cabeçalhos MCP personalizados com servidores nos quais você não confia totalmente.
Rotacione quaisquer credenciais específicas do MCP que possam ter sido expostas por um endpoint de redirecionamento.
Correção
Information Disclosure
Insufficiently Protected Credentials
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Openclaw