CVE-2026-33578
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
OpenClaw przed 2026.3.28 zawiera podatność w rozszerzeniach Google Chat i Zalouser, gdzie polityki allowlist na poziomie grupy są wyciszane do otwartej polityki. Atakujący może ominąć ograniczenia nadawcy i wchodzić w interakcje z botami.
Ocena ryzyka
Nieautoryzowani nadawcy mogą wysyłać wiadomości do botów, co może prowadzić do wycieku informacji lub nieautoryzowanych działań.
Rekomendacja
Należy zaktualizować OpenClaw do wersji 2026.3.28 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.28 contains a sender policy bypass vulnerability in the Google Chat and Zalouser extensions where route-level group allowlist policies silently downgrade to open policy. Attackers can exploit this policy resolution flaw to bypass sender restrictions and interact with bots despite configured allowlist restrictions.