CVE-2026-33581
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.3.24 zawiera podatność na ominięcie piaskownicy (sandbox bypass) w narzędziu wiadomości, która pozwala atakującym na odczyt dowolnych lokalnych plików poprzez użycie parametrów aliasów mediaUrl i fileUrl, które omijają walidację localRoots. Zdalni atakujący mogą wykorzystać tę podatność, kierując żądania plików przez niezweryfikowane parametry aliasów, aby uzyskać dostęp do plików poza zamierzonym katalogiem piaskownicy.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych plików lokalnych, co może prowadzić do ujawnienia danych wrażliwych.
Rekomendacja
Zaktualizuj OpenClaw do wersji 2026.3.24 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.24 contains a sandbox bypass vulnerability in the message tool that allows attackers to read arbitrary local files by using mediaUrl and fileUrl alias parameters that bypass localRoots validation. Remote attackers can exploit this by routing file requests through unvalidated alias parameters to access files outside the intended sandbox directory.