PT-2026-49783 · Openclaw · Openclaw

Edward-X · CVE-2026-53866 · Publicado 2026-06-16 · Atualizado 2026-06-18

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.5.12

Description Existe um bypass de allowlist no processamento de comandos inline do shell. Uma solicitação de comando que utilize formas de comando inline do shell pode ser roteada através de um caso de processamento que ignora a decisão de allowlist esperada, permitindo que operadores autenticados executem conteúdo de shell não aprovado sem os prompts de aprovação pretendidos.

Recommendations Atualizar para a versão 2026.5.12. Exigir aprovação para formas de comando inline do shell. Manter as allowlists de canais e ferramentas restritas. Evitar o compartilhamento de um Gateway entre usuários mutuamente não confiáveis. Desativar o recurso de comando inline do shell quando não for necessário.

Exploit

Correção

Incomplete List of Disallowed Inputs

Missing Authorization

Enumeração de Fraquezas

CWE-184

CWE-862

Identificadores relacionados

CVE-2026-53866

GHSA-F397-5VJW-V2C2

GHSA-V383-2WGG-V483

Produtos afetados

Openclaw

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/53xxx/CVE-2026-53866.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-f397-5vjw-v2c2 · Aviso do Fabricante
• https://t.me/cveNotify/168770 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-53866 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-53866 · Aviso do Fabricante
• https://t.me/cveNotify/170171 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-v383-2wgg-v483 · Aviso do Fabricante
• https://vulncheck.com/advisories/openclaw-allowlist-bypass-in-shell-inline-command-parsing · Nota
• https://osv.dev/vulnerability/GHSA-f397-5vjw-v2c2 · Aviso do Fabricante