CVE-2026-32970
NiskieCVSS 2.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.3.11 zawiera podatność na wycofanie poświadczeń, gdzie niedostępne lokalne tokeny i hasła są traktowane jako nieustawione, co pozwala na wycofanie do zdalnych poświadczeń w trybie lokalnym. Atakujący mogą wykorzystać błędnie skonfigurowane lokalne referencje do ominięcia zamierzonych granic uwierzytelniania.
Ocena ryzyka
Ryzyko ominięcia lokalnego uwierzytelniania i użycia zdalnych poświadczeń, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj OpenClaw do wersji 2026.3.11 lub nowszej. Sprawdź konfigurację lokalnych referencji uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.11 contains a credential fallback vulnerability where unavailable local gateway.auth.token and gateway.auth.password SecretRefs are treated as unset, allowing fallback to remote credentials in local mode. Attackers can exploit misconfigured local auth references to cause CLI and helper paths to select incorrect credential sources, potentially bypassing intended local authentication boundaries.