CVE-2026-53823
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
OpenClaw w wersjach przed 2026.5.3 zawiera podatność na eskalację uprawnień w funkcji allowFrom, która wiąże się z edytowalnymi nazwami wyświetlanymi w Slacku. Atakujący z dostępem do konta Slack mogą zmieniać metadane nazw wyświetlanych, aby pasowały do wpisów polityki, co może prowadzić do nieautoryzowanego dostępu do agentów przeznaczonych dla innych tożsamości.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do zasobów, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych. Eskalacja uprawnień przez atakujących może skutkować nieautoryzowanym działaniem w systemie.
Rekomendacja
Zaleca się aktualizację OpenClaw do wersji 2026.5.3 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt uprawnień użytkowników w Slacku, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.5.3 contains a privilege escalation vulnerability in the allowFrom feature that binds to mutable Slack display names. Attackers with Slack account access can change display name metadata to match policy entries, potentially gaining unauthorized agent access intended for other identities.