CVE-2026-32976
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.3.11 zawiera podatność na ominięcie autoryzacji, która pozwala komendom kanałowym na modyfikację chronionej konfiguracji konta podrzędnego pomimo ograniczeń configWrites. Atakujący z autoryzowanym dostępem do jednego konta mogą wykonać komendy kanałowe, takie jak /config set channels.<provider>.accounts.<id>, aby zmodyfikować konfigurację na kontach docelowych z configWrites: false.
Ocena ryzyka
Atakujący może modyfikować konfigurację kont podrzędnych, co może prowadzić do nieautoryzowanego dostępu do zasobów, wycieku danych lub przerwania działania usług.
Rekomendacja
Zaleca się aktualizację OpenClaw do wersji 2026.3.11 lub nowszej oraz wdrożenie ścisłych kontroli autoryzacji dla komend kanałowych.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.11 contains an authorization bypass vulnerability allowing channel commands to mutate protected sibling-account configuration despite configWrites restrictions. Attackers with authorized access on one account can execute channel commands like /config set channels.<provider>.accounts.<id> to modify configuration on target accounts with configWrites: false.