CVE-2026-53854
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 — wyżej niż 16% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.4.25 zawiera podatność na eskalację uprawnień w autoryzacji poleceń wewnętrznych i czatu internetowego, co pozwala nadawcom na dziedziczenie stanu ownerAllowFrom z użyciem symbolu wieloznacznego poza granicami kanałów.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność, wysyłając polecenia na dotkniętych ścieżkach, co może prowadzić do wykonania poleceń z uprawnieniami właściciela poza zamierzonym zakresem kanału, potencjalnie omijając kontrole dostępu.
Rekomendacja
Zaleca się aktualizację OpenClaw do wersji 2026.4.25 lub nowszej, aby usunąć tę podatność oraz przegląd i wzmocnienie kontroli dostępu w systemie.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.4.25 contains a privilege escalation vulnerability in internal and webchat command authentication that allows senders to inherit wildcard ownerAllowFrom state across channel boundaries. Attackers can exploit this by sending commands on affected internal or webchat paths to execute owner-style command behavior outside intended channel scope, potentially bypassing access controls.