CVE-2026-62188
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W bibliotece OpenClaw @openclaw/feishu w wersjach do 2026.6.6 włącznie wykryto podatność polegającą na nieprawidłowej autoryzacji. Narzędzia uprawnień Feishu mogą ignorować ustawienia wyłączenia dla poszczególnych kont, co pozwala mniej zaufanemu wywołującemu lub skonfigurowanej ścieżce wejściowej na wykonanie akcji wymagających silniejszej autoryzacji. Problem został naprawiony w wersji 2026.6.9.
Ocena ryzyka
Ryzyko polega na możliwości ominięcia kontroli dostępu i wykonania nieautoryzowanych operacji przez atakującego z niższym poziomem zaufania, co może prowadzić do naruszenia poufności lub integralności danych w organizacji.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę @openclaw/feishu do wersji 2026.6.9 lub nowszej. Przed aktualizacją warto tymczasowo wyłączyć funkcję narzędzi uprawnień Feishu, jeśli jest to możliwe.
Inne podatności w @openclaw/feishu
Zobacz wszystkie- CVE-2026-100540Średnie
OpenClaw Feishu przed wersją 2026.8.1 nie weryfikuje, czy skonfigurowane konto domyślne jest wyłączone, zanim wybierze je do operacji narzędzi modelu. Atakujący mogą wykorzystać konfiguracje z wieloma kontami, gdzie wyłączone konto domyślne zachowuje poświadczenia, aby czytać lub modyfikować zasoby Feishu przez odwołaną tożsamość.
- CVE-2026-62187Wysokie
Podatność w pakiecie npm @openclaw/feishu (wersje do 2026.6.6) pozwala na ignorowanie wyłączeń dla poszczególnych kont. Niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa mogą wykonać operacje wymagające silniejszej autoryzacji, co prowadzi do nieautoryzowanych działań. Problem został naprawiony w wersji 2026.6.9.
Oryginalny opis (angielski, źródło NVD)
OpenClaw @openclaw/feishu versions 2026.6.6 and earlier contain an incorrect authorization vulnerability in which the Feishu permission tools could ignore per-account disablement settings. When the affected feature is enabled and reachable, a lower-trust caller or configured input path could perform actions that should have required a stronger authorization or policy check. The issue is fixed in version 2026.6.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS