CVE-2026-53833
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.4.29 zawiera lukę w autoryzacji w komendzie strumieniowej QQBot, która pozwala uwierzytelnionym nadawcom na modyfikację konfiguracji bez wyraźnych ograniczeń allowFrom. Atakujący mogą zmieniać konfigurację strumienia QQBot w sposób niezgodny z polityką administracyjną.
Ocena ryzyka
Luka ta może prowadzić do nieautoryzowanych zmian w konfiguracji, co zagraża integralności systemu i może umożliwić atakującym przejęcie kontroli nad funkcjami QQBot.
Rekomendacja
Zaleca się aktualizację OpenClaw do wersji 2026.4.29 lub nowszej oraz przegląd polityki autoryzacji w celu zminimalizowania ryzyka.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.4.29 contains an authorization bypass vulnerability in the QQBot streaming command that allows authenticated senders to mutate configuration without explicit allowFrom restrictions. Attackers can modify QQBot streaming configuration outside intended admin policy by reaching the affected command without non-wildcard allowlist entry requirements.