CVE Vulnerability Catalog

Wersje OpenClaw przed 2026.4.8 nie wymuszają weryfikacji integralności pobranych archiwów wtyczek. Atakujący mogą zainstalować złośliwe lub zmodyfikowane pakiety wtyczek bez wykrycia, co zagraża lokalnemu środowisku asystenta.

OpenClaw przed wersją 2026.4.8 zawiera lukę w autoryzacji, w której metoda node.pair.approve akceptuje zakres operator.write zamiast węższego zakresu operator.pairing. To pozwala nieuprzywilejowanym użytkownikom na zatwierdzanie parowania węzłów.

OpenClaw w wersjach przed 2026.4.8 zawiera mechanizm awaryjny dla limitu czasu zatwierdzenia, który omija wymagania dotyczące jawnej zgody na wykonanie poleceń inline eval na hostach bramowych i węzłowych. Atakujący mogą wykorzystać ten mechanizm do wykonania poleceń inline eval, które powinny wymagać wyraźnej zgody użytkownika.

OpenClaw przed wersją 2026.4.8 zawiera podatność na obejście ról w funkcji device.token.rotate, która umożliwia tworzenie tokenów dla niezatwierdzonych ról. Atakujący mogą ominąć proces parowania ról urządzenia, aby zachować lub tworzyć role i zakresy, które nie przeszły zamierzonej akceptacji.

OpenClaw przed wersją 2026.4.8 zawiera podatność typu server-side request forgery (SSRF) w ścieżkach pobierania mediów QQ Bota, która omija zabezpieczenia SSRF. Atakujący mogą wykorzystać niechronione punkty końcowe pobierania mediów do uzyskania dostępu do zasobów wewnętrznych oraz obejścia polityk dozwolonych.

OpenClaw w wersjach przed 2026.4.8 zawiera lukę umożliwiającą obejście polityki ochrony przed fałszywymi żądaniami serwera (SSRF). Atakujący mogą wykorzystać interakcje przeglądarki do ominięcia zabezpieczeń SSRF i uzyskać dostęp do zastrzeżonych zasobów.

OpenClaw przed wersją 2026.3.31 analizuje treści żądań webhooków MS Teams przed przeprowadzeniem walidacji JWT, co pozwala nieautoryzowanym atakującym na wywołanie wyczerpania zasobów. Zdalni atakujący mogą wysyłać złośliwe ładunki webhooków Teams, aby wyczerpać zasoby serwera, omijając kontrole autoryzacji.

OpenClaw przed wersją 2026.3.31 zawiera niekompletną podatność na usuwanie zakresów w trybie uwierzytelniania trusted-proxy, co pozwala na eskalację uprawnień operator.admin. Atakujący mogą wykorzystać tę podatność, deklarując zakresy operatora na klientach, którzy nie są kontrolerami UI.

OpenClaw przed wersją 2026.3.28 akceptuje nieograniczone równoległe aktualizacje WebSocket bez wymaganego uwierzytelnienia i alokacji budżetu przed uwierzytelnieniem. Atakujący mogą wykorzystać tę podatność do zakłócenia dostępności WebSocket dla prawidłowych klientów.

OpenClaw przed wersją 2026.3.31 pozwala na nadpisanie zmiennej środowiskowej OPENCLAW_BUNDLED_PLUGINS_DIR przez pliki .env w workspace, co narusza weryfikację zaufania do wtyczek. Atakujący mogą wprowadzać złośliwe wtyczki, mając kontrolę nad konfiguracją workspace.

OpenClaw przed wersją 2026.3.28 zawiera podatność na powtórne odtwarzanie webhooków w weryfikacji podpisu Plivo V3, która kanonizuje kolejność zapytań dla podpisów, ale hashuje surowe adresy URL w celu wykrywania powtórzeń. Atakujący mogą zmieniać kolejność parametrów zapytania, aby obejść wykrywanie pamięci podręcznej powtórzeń i wywołać duplikację przetwarzania połączeń głosowych z przechwyconym ważnym podpisanym webhookiem.

OpenClaw przed wersją 2026.3.31 zawiera podatność na obejście uwierzytelniania, w której nieautoryzowane trasy HTTP dla wtyczek otrzymują uprawnienia do zapisu w czasie rzeczywistym. Atakujący mogą uzyskać dostęp do tych tras bez uwierzytelnienia, co pozwala im na wykonywanie uprzywilejowanych działań w czasie rzeczywistym, które są przeznaczone dla autoryzowanych operatorów.

OpenClaw przed wersją 2026.3.28 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń, gdzie trwałość ustawień 'allow-always' nie rozpakowuje /usr/bin/script i podobnych wrapperów przed zapisaniem decyzji o zaufaniu. Atakujący mogą uzyskać zgodę użytkownika na jedno polecenie opakowane, co pozwala na utrzymanie zaufania dla binarnych wrapperów wykonujących różne programy.

OpenClaw przed wersją 2026.3.22 zawiera niekompletną podatność na sanitizację zmiennych środowiskowych w plikach host-env-security-policy.json i host-env-security.ts. Umożliwia to atakującym wykorzystanie zatwierdzonych żądań wykonania do przekierowania rozwiązywania pakietów lub uruchamiania do infrastruktury kontrolowanej przez atakującego oraz wykonanie złośliwego kodu.

OpenClaw before 2026.3.24 contains an environment variable injection vulnerability in the CLI backend runner that allows attackers to inject malicious environment variables through workspace configuration.

OpenClaw before version 2026.4.2 contains an arbitrary directory deletion vulnerability in mirror mode, allowing attackers to delete remote directories by manipulating the remoteWorkspaceDir and remoteAgentWorkspaceDir configuration values.

OpenClaw before version 2026.3.28 contains an execution approval vulnerability in exec-approvals-allowlist.ts that allows allow-always persistence to trust wrapper carrier executables instead of invoked targets. Attackers can exploit positional carrier executable routing through dispatch wrappers to establish broader allowlist entries than intended.

OpenClaw before version 2026.3.28 contains a privilege escalation vulnerability allowing authenticated operators with write permissions to access admin-class Talk Voice configuration persistence. Attackers with operator.write privileges can exploit the chat.send endpoint to reach and modify sensitive voice configuration settings intended for administrators only.

OpenClaw before version 2026.3.31 contains a privilege escalation vulnerability allowing paired nodes with role 'node' to dispatch node.event agent requests with unrestricted gateway-side tool access.

In HTMLy version 3.1.1, a Cross-Site Scripting (XSS) vulnerability exists in the content creation functionality at the /add/content?type=image endpoint. The application fails to properly sanitize user input, allowing injection of arbitrary code.