PT-2026-5722 · Openclaw · Openclaw

Berkdedekarginoglu · Publicado 2026-02-02 · Atualizado 2026-06-06 · CVE-2026-24763

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.0

Alta

Vetor base

AV:N/AC:L/Au:S/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.1.29

Description Um problema de injeção de comando existe no mecanismo de execução do sandbox Docker devido ao manuseio inseguro da variável de ambiente PATH ao construir comandos de shell. Um usuário autenticado com a capacidade de controlar variáveis de ambiente pode influenciar a execução de comandos dentro do contexto do contêiner, levando potencialmente à execução de comandos não pretendidos, acesso ao sistema de arquivos do contêiner e exposição de dados sensíveis. Mais de 135.000 instâncias estão expostas à internet, com aproximadamente 63% vulneráveis.

Recommendations Atualizar para a versão 2026.1.29.

Exploit

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

BDU:2026-05649

CVE-2026-24763

GHSA-MC68-Q9JW-2H3V

Produtos afetados

Openclaw

Referências · 24

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/24xxx/CVE-2026-24763.json · Exploit
• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.1.29 · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-mc68-q9jw-2h3v · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/771f23d36b95ec2204cc9a0054045f5d8439ea75 · Correção
• https://github.com/clawdbot/clawdbot/security/advisories/GHSA-mc68-q9jw-2h3v · Nota
• https://twitter.com/dicky_ibrohim/status/2021229421907071273 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2018465516830986527 · Publicação no Twitter
• https://reddit.com/r/Hochintelligenz_DE/comments/1r424ee/massive_sicherheitsl%C3%BCcken · Publicação no Reddit
• https://twitter.com/mokumsgeweten1/status/2024591186950803679 · Publicação no Twitter
• https://t.me/cveNotify/151938 · Publicação no Telegram
• https://twitter.com/CoyoteSecure/status/2022786173551415375 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-24763 · Aviso do Fabricante
• https://twitter.com/rwsanders/status/2034301118663241840 · Publicação no Twitter
• https://reddit.com/r/better_claw/comments/1rqqyeg/every_openclaw_security_incident_on_one_timeline · Publicação no Reddit