CVE-2026-62187

WysokieCVSS 8.1

Opublikowano: 13/07/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność w pakiecie npm @openclaw/feishu (wersje do 2026.6.6) pozwala na ignorowanie wyłączeń dla poszczególnych kont. Niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa mogą wykonać operacje wymagające silniejszej autoryzacji, co prowadzi do nieautoryzowanych działań. Problem został naprawiony w wersji 2026.6.9.

Ocena ryzyka

Ryzyko polega na możliwości wykonania nieautoryzowanych operacji przez osobę lub proces o niższym zaufaniu, co może skutkować naruszeniem integralności danych lub niekontrolowanym dostępem do funkcji systemu.

Rekomendacja

Zaleca się natychmiastową aktualizację pakietu @openclaw/feishu do wersji 2026.6.9 lub nowszej oraz przegląd konfiguracji ścieżek wejściowych pod kątem ograniczenia zaufania.

Inne podatności w @openclaw/feishu

CVE-2026-62188Wysokie
W bibliotece OpenClaw @openclaw/feishu w wersjach do 2026.6.6 włącznie wykryto podatność polegającą na nieprawidłowej autoryzacji. Narzędzia uprawnień Feishu mogą ignorować ustawienia wyłączenia dla poszczególnych kont, co pozwala mniej zaufanemu wywołującemu lub skonfigurowanej ścieżce wejściowej na wykonanie akcji wymagających silniejszej autoryzacji. Problem został naprawiony w wersji 2026.6.9.

Oryginalny opis (angielski, źródło NVD)

OpenClaw Feishu tools (npm package @openclaw/feishu) in versions <= 2026.6.6 could ignore per-account disablement. A lower-trust caller or a configured input path could perform actions that should have required a stronger authorization or policy check, resulting in unauthorized operations. The issue is fixed in version 2026.6.9. Impact depends on the operator's configuration and whether lower-trust input can reach the affected feature.