CVE-2026-32987
CriticalSummary
OpenClaw przed wersją 2026.3.13 pozwala na ponowne odtwarzanie kodów konfiguracji bootstrap podczas weryfikacji parowania urządzeń. Atakujący mogą wielokrotnie weryfikować ważny kod bootstrap przed zatwierdzeniem, co może prowadzić do eskalacji uprawnień.
Risk Assessment
Ryzyko dla organizacji polega na możliwości eskalacji uprawnień do poziomu operatora.admin, co może prowadzić do nieautoryzowanego dostępu do krytycznych zasobów systemowych.
Recommendation
Zaleca się aktualizację OpenClaw do wersji 2026.3.13 lub nowszej, aby zlikwidować tę podatność oraz zabezpieczyć proces parowania urządzeń.
Original NVD description (English source)
OpenClaw before 2026.3.13 allows bootstrap setup codes to be replayed during device pairing verification in src/infra/device-bootstrap.ts. Attackers can verify a valid bootstrap code multiple times before approval to escalate pending pairing scopes, including privilege escalation to operator.admin.