Podatności openclaw-cn

W mf-yang openclaw-cn do wersji 0.2.1 wykryto podatność w funkcji assertNoSymlinkEscape pliku src/agents/sandbox-paths.ts, w komponencie apply_patch Tool. Problem dotyczy podążania za dowiązaniami symbolicznymi. Atak może być przeprowadzony zdalnie. Exploit jest publiczny. Projekt został poinformowany, ale nie odpowiedział.

Podatność w mf-yang openclaw-cn do wersji 0.2.1 dotyczy funkcji isApprovedElevatedSender w pliku src/auto-reply/reply/reply-elevated.ts, co prowadzi do nieprawidłowego zarządzania uprawnieniami. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Podatność w mf-yang openclaw-cn w wersji 2026.2.5 dotyczy nieznanej części pliku src/agents/bash-tools.exec.ts w komponencie Ggateway Exec Approval Flow, co prowadzi do nieprawidłowej autoryzacji. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.

Podatność w openclaw-cn do wersji 0.2.1 umożliwia atak typu Server-Side Request Forgery (SSRF) poprzez funkcję clickViaPlaywright w pliku agent.act.ts. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.

Podatność w openclaw-cn do wersji 0.2.1 pozwala na ujawnienie informacji poprzez funkcję assertBrowserNavigationAllowed w pliku navigation-guard.ts. Manipulacja argumentem url prowadzi do wycieku danych. Atak może być przeprowadzony zdalnie, a exploit został publicznie ujawniony.