Podatności OpenClaw

OpenClaw przed wersją 2026.4.25 zawiera lukę w zakresie ograniczeń podczas ponownego parowania urządzeń, która pozwala uwierzytelnionym operatorom na przywrócenie szerszych zakresów niż zamierzono poprzez przesyłanie żądań ponownego parowania z pustymi zestawami zakresów.

OpenClaw przed wersją 2026.5.12 zawiera podatność na obejście powiadomień, która pozwala na wprowadzenie zdarzeń reakcji Slacka do potoku agenta, mimo że powiadomienia reakcji są wyłączone.

OpenClaw przed wersją 2026.4.25 zawiera lukę w zakresie egzekwowania kontroli, która pozwala uwierzytelnionym użytkownikom na wykonanie komendy focus bez odpowiednich sprawdzeń autoryzacji.

OpenClaw w wersjach przed 2026.5.7 zawiera podatność na eskalację uprawnień, w której funkcja allowFrom niewłaściwie weryfikuje tożsamość konta Discord, używając zmiennych nazw wyświetlanych zamiast niezmiennych identyfikatorów użytkowników. Atakujący mogą zmienić swoją nazwę wyświetlaną, aby dopasować ją do wpisu w polityce i uzyskać nieautoryzowany dostęp do agenta przeznaczonego dla innej tożsamości Discord.

OpenClaw przed wersją 2026.5.26 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń, co pozwala uwierzytelnionym operatorom na wykonywanie efektów ubocznych na poziomie wrappera poza zamierzonymi poleceniami. Atakujący mogą tworzyć żądania poleceń, które omijają walidację listy dozwolonych poleceń.

OpenClaw w wersjach przed 2026.5.6 zawiera podatność na eskalację uprawnień w zakresie zapisu pamięci aktywnej, która pozwala operatorom bramy z dostępem operator.write na modyfikację globalnej konfiguracji bez wymaganych uprawnień operator.admin.

OpenClaw przed wersją 2026.4.29 zawiera podatność na przejście ścieżki w pomocniku instalacyjnym, która pozwala plikom .env w przestrzeni roboczej na nadpisanie konfiguracji npm_execpath używanej do instalacji zależności runtime. Atakujący z dostępem do przestrzeni roboczej mogą uruchomić niezamierzone lokalne pliki wykonywalne menedżera pakietów podczas konfiguracji zależności.

OpenClaw w wersjach przed 2026.5.6 zawiera podatność na obejście hooków, gdzie komendy umiejętności przesyłane przez podatną ścieżkę dyspozycji omijają pokrycie hooków przed wywołaniem narzędzi. Atakujący mogą wykorzystać tę podatność, wysyłając komendy umiejętności przez tę ścieżkę, aby obejść mechanizmy audytu i egzekwowania polityki oparte na hookach.

OpenClaw w wersjach przed 2026.4.29 zawiera lukę umożliwiającą obejście kontroli widoczności sesji w wyszukiwaniu pamięci współdzielonej. Umożliwia to uwierzytelnionym użytkownikom dostęp do wpisów pamięci bez odpowiednich uprawnień.

OpenClaw przed wersją 2026.5.26 zawiera podatność na obejście autoryzacji, która pozwala na przywrócenie autorytetu tokena węzła po jego unieważnieniu. Atakujący z sparowanym urządzeniem mogą odzyskać dostęp na poziomie węzła WebSocket bez ponownej zgody.

OpenClaw w wersjach przed 2026.5.2 zawiera podatność na wstrzykiwanie zmiennych środowiskowych, która pozwala plikom .env w przestrzeni roboczej wpływać na wybór środowiska Python podczas wykonywania konfiguracji gcloud dla Gmaila. Atakujący z dostępem do repozytoriów mogą manipulować zmienną CLOUDSDK_PYTHON, co może prowadzić do wykonania dowolnego kodu.

OpenClaw przed wersją 2026.5.12 zawiera podatność na atak typu cross-site scripting w eksportowanym HTML sesji, która zachowuje niebezpieczne linki javascript: i data: w generowanej treści.

OpenClaw w wersjach przed 2026.5.12 zawiera podatność na ujawnienie informacji w serwerach MCP obsługujących streamable-http, które przekazują niestandardowe nagłówki skonfigurowane przez operatora podczas przekierowań między źródłami. Atakujący mogą wykorzystać tę podatność do wykradania wrażliwych nagłówków, takich jak klucze API czy dane uwierzytelniające do routingu najemców.

OpenClaw przed wersją 2026.5.7 zawiera podatność w walidacji nazw hostów w punktach końcowych ponawiania prób, która pozwala na dopasowanie prefiksów nazw hostów zamiast dokładnych nazw. Atakujący mogą to wykorzystać, tworząc prefiks nazwy hosta przypominający zaufany host, aby wysłać dane uwierzytelniające do niezaufanych punktów końcowych.

OpenClaw przed wersją 2026.5.6 zawiera podatność w obsłudze zdarzeń Mattermost, która nie waliduje metadanych typu kanału. Atakujący mogą ominąć politykę DM, wysyłając spreparowane zdarzenia Mattermost bez informacji o typie kanału, aby przetwarzać ograniczoną treść.

Podatność w OpenClaw przed wersją 2026.5.12. Polega na obejściu listy dozwolonych poleceń (allowlist) w obsłudze zakodowanych poleceń PowerShell. Atakujący może wykonać zakodowane polecenia, używając skróconych aliasów flag, które nie są rozpoznawane przez parser listy dozwolonych. Zdalni uwierzytelnieni operatorzy mogą ominąć sprawdzanie listy dozwolonych, używając nierozpoznanych form aliasów zakodowanych poleceń, aby wykonać dowolny kod PowerShell.

Podatność w OpenClaw przed wersją 2026.5.6 umożliwia ominięcie wymuszenia konfiguracji w powiązaniach dynamic-agent w Feishu. Uwierzytelnieni nadawcy mogą tworzyć lub aktualizować powiązania bez przestrzegania skonfigurowanych kontroli config-write, co pozwala na nieautoryzowane modyfikacje stanu powiązań.

Podatność w OpenClaw przed wersją 2026.4.27 umożliwia ominięcie autoryzacji w komendach slash QQBot przed ich wysłaniem. Uwierzytelnieni nadawcy mogą pominąć sprawdzanie polityki allowFrom, co pozwala na wywołanie komend przed zastosowaniem skonfigurowanych reguł kontroli dostępu.

OpenClaw przed wersją 2026.4.29 zawiera lukę w autoryzacji w komendzie strumieniowania QQBot, która pozwala uwierzytelnionym nadawcom na modyfikację konfiguracji bez wymaganych ograniczeń allowFrom. Atakujący mogą zmieniać konfigurację strumieniowania QQBot poza zamierzoną polityką administracyjną.

OpenClaw przed wersją 2026.5.18 zawiera podatność walidacji nagłówka tożsamości, umożliwiającą lokalnym wywołującym z tego samego hosta fałszowanie nagłówków tożsamości zaufanego proxy. Atakujący z dostępem do portu Gateway proxy mogą dostarczyć sfałszowane nagłówki tożsamości, aby przyjąć tożsamość operatora i potencjalnie eskalować uprawnienia.

OpenClaw przed wersją 2026.5.18 zawiera podatność w mechanizmie walidacji listy dozwolonych poleceń w system.run safe-bin. Uwierzytelnieni operatorzy mogą wykorzystać metaznaki powłoki w zatwierdzonych poleceniach do odczytu lokalnych plików i ujawnienia poufnych danych konfiguracyjnych.

OpenClaw przed wersją 2026.4.22 zawiera lukę umożliwiającą obejście unieważnienia sekretów webhook. Stare sekrety Slack i Zalo pozostają aktywne po wykonaniu secrets.reload, co pozwala atakującym na wysyłanie zdarzeń webhook z użyciem wcześniejszych poświadczeń.

OpenClaw przed wersją 2026.5.18 zawiera podatność na obcinanie wyświetlania zatwierdzeń, umożliwiającą uwierzytelnionym użytkownikom ukrywanie sufiksów poleceń przed osobami zatwierdzającymi. Atakujący mogą przesyłać zbyt duże polecenia exec z nieszkodliwymi prefiksami i złośliwymi sufiksami, aby po zatwierdzeniu wykonać nieautoryzowane operacje.

Podatność obejścia autoryzacji w OpenClaw przed wersją 2026.5.6. Uwierzytelnieni nadawcy mogą wykonywać polecenia zarezerwowane dla właściciela bez odpowiedniej kontroli dostępu, co pozwala na wykonanie uprzywilejowanych poleceń przez nieautoryzowanych użytkowników.

OpenClaw przed wersją 2026.5.2 zawiera podatność na ujawnienie poświadczeń w przekazywaniu akcji wiadomości. Pozwala to na przechwycenie tokenów bramy i ładunków akcji przez zdalnego atakującego.

OpenClaw przed wersją 2026.4.26 zawiera podatność na ujawnienie informacji w tworzeniu sesji w piaskownicy, która ujawnia rzeczywistą ścieżkę obszaru roboczego podrzędnym promptom. Atakujący mogą to wykorzystać, tworząc sesje podrzędne z sesji nadrzędnych w piaskownicy, aby ujawnić lokalizację obszaru roboczego hosta lub powiązany kontekst pamięci modelom podrzędnym.

Podatność w OpenClaw przed wersją 2026.4.7 w funkcji memory-wiki ingest. Uwierzytelnieni operatorzy z zakresem operator.write mogą odczytać dowolne pliki lokalne poza zamierzonymi źródłami, podając ścieżki plików.

OpenClaw przed wersją 2026.4.24 zawiera podatność na unieważnienie tokenów, umożliwiającą wywoływaczom z cofniętymi tokenami slash kontynuowanie wykonywania poleceń podczas okien odświeżania monitora. Atakujący mogą wykorzystać akceptację nieaktualnych tokenów do wywołania zachowania poleceń slash krótko po unieważnieniu tokena, potencjalnie wykonując nieautoryzowane działania w zależności od konfiguracji operatora.

OpenClaw przed wersją 2026.5.3 zawiera podatność eskalacji uprawnień w funkcji allowFrom, która wiąże się z zmiennymi nazwami wyświetlanymi Slacka. Atakujący z dostępem do konta Slack mogą zmienić metadane nazwy wyświetlanej, aby dopasować do wpisów polityki, potencjalnie uzyskując nieautoryzowany dostęp agenta.

W OpenClaw przed wersją 2026.5.18 stwierdzono podatność na wstrzykiwanie poleceń, gdzie argumenty powłoki mogą ulec zmianie między zatwierdzeniem a wykonaniem. Atakujący może odtworzyć argumenty poleceń po zatwierdzeniu listy dozwolonych, aby wykonać niezatwierdzone kształty poleceń, potencjalnie omijając zabezpieczenia.

OpenClaw przed wersją 2026.5.18 akceptuje zakresy operatorów zadeklarowane przez klienta WebSocket przed powiązaniem z zatwierdzonym parowaniem serwera lub bazą autoryzacji zaufanego proxy. Nieparowane lub ograniczone klienty Control UI zaufanego proxy mogą uzyskać buforowane uprawnienia operator.admin na aktywnych połączeniach WebSocket, aby wykonywać RPC bramy z ograniczeniami administracyjnymi.

Podatność w OpenClaw przed 2026.5.12, umożliwiająca ominięcie listy blokowanych komend exec poprzez ścieżkę sesji MCP loopback. Uwierzytelnieni atakujący mogą uruchamiać szerszy zakres komend.

OpenClaw przed wersją 2026.5.27 zawiera podatność na wykonanie dowolnego kodu w procesie instalacji umiejętności, gdzie pliki .env w przestrzeni roboczej mogą nadpisywać wybór wykonywalnego pliku Homebrew. Atakujący z dostępem do zaufanych przestrzeni roboczych operatorów mogą uruchomić niezamierzone wykonywalne pliki kompatybilne z Homebrew podczas konfiguracji umiejętności, co może prowadzić do kompromitacji systemu.

OpenClaw przed wersją 2026.4.24 zawiera lukę w autoryzacji w funkcji pętli zwrotnej MCP, która pozwala na ominięcie polityk narzędzi przeznaczonych tylko dla właścicieli. Atakujący mogą wywołać zachowanie zarezerwowane dla właścicieli za pomocą tej podatnej ścieżki pętli zwrotnej.

OpenClaw przed wersją 2026.5.22 zawiera podatność na walidację lokalności w parowaniu interfejsu użytkownika, która pozwala atakującym z dostępem do sieci na fałszowanie informacji o lokalności i uzyskanie trwałych tokenów urządzeń z uprawnieniami administratora.

OpenClaw przed wersją 2026.5.18 zawiera lukę w walidacji pochodzenia w obsłudze zdarzeń węzłów, która pozwala sparowanym węzłom na fałszowanie zdarzeń cyklu życia exec bez autoryzacji system.run. Złośliwy lub skompromitowany sparowany węzeł może wysyłać spreparowane wiadomości node.event do bramy.

OpenClaw przed wersją 2026.5.19 zawiera lukę w autoryzacji, która pozwala na ominięcie kontroli listy dozwolonych kanałów podczas odczytu wiadomości. Użytkownicy o niższym poziomie zaufania mogą żądać wiadomości z kanałów, do których nie mają dostępu, co może prowadzić do ujawnienia wrażliwych informacji.

OpenClaw w wersjach przed 2026.5.20 zawiera podatność na eskalację uprawnień, w której agenci wywoływani przez hooki otrzymują niewłaściwe uprawnienia. Atakujący z ważnym tokenem hooka mogą wykorzystać punkt końcowy /hooks/agent, aby uzyskać dostęp do narzędzi MCP przeznaczonych tylko dla właściciela.

OpenClaw przed wersją 2026.4.25 zawiera podatność na przejście ścieżki w ładowaniu artefaktów memory-core, gdzie stan przestrzeni roboczej wpływa na rozwiązywanie lokalnych ścieżek pakietów. Atakujący z dostępem do podatnych przestrzeni roboczych mogą ładować artefakty memory-core z niezamierzonych lokalizacji, co może prowadzić do wykonania złośliwego kodu lub uzyskania dostępu do wrażliwych danych.

OpenClaw przed wersją 2026.5.18 zawiera podatność typu server-side request forgery w kontrolce przeglądarki, która pozwala uwierzytelnionym użytkownikom na ominięcie kontroli nawigacji w sieciach prywatnych poprzez interakcje z Playwright act. Atakujący mogą wywołać nawigację do celów w sieci prywatnej za pomocą przekierowań wywołanych akcją i następnie odczytać zawartość zastrzeżonych stron za pomocą możliwości oceny przeglądarki.

OpenClaw przed wersją 2026.5.7 zawiera podatność na eskalację uprawnień w funkcji allowFrom w Matrix, która pozwala uwierzytelnionym kontom na dopasowywanie wpisów polityki poprzez modyfikowalne metadane nazwy wyświetlanej. Atakujący, którzy mają możliwość zmiany nazw wyświetlanych, mogą uzyskać dostęp agenta przeznaczony dla innej tożsamości Matrix.

OpenClaw przed wersją 2026.5.18 zawiera podatność na wykonanie kodu, gdzie metadane rozszerzenia runtime rynku mogą przekierować ładowanie do nieprzeskanowanych ładunków pakietów. Atakujący z dostępem operatora zaufanego mogą manipulować metadanymi rozszerzenia, aby ładować kod wtyczki poza przeglądanymi punktami wejścia pakietu, omijając skanowanie bezpieczeństwa.

OpenClaw w wersjach przed 2026.4.25 zawiera lukę w polityce, która pozwala na obejście zasad wbudowanego runnera. Umożliwia to atakującym porównywanie aliasów dostawców zamiast ich kanonicznych tożsamości, co może prowadzić do nieautoryzowanego dostępu do narzędzi.

OpenClaw w wersjach przed 2026.5.6 zawiera lukę umożliwiającą obejście polityki zatwierdzania w procesie aplikacji w Skill Workshop. Umożliwia to atakującym wywołanie narzędzi agenta, które mogą ustawić apply: true mimo konfiguracji approvalPolicy: pending.

OpenClaw przed wersją 2026.5.6 zawiera lukę w autoryzacji w interaktywnych wywołaniach Telegrama, która pozwala uwierzytelnionym użytkownikom na ominięcie walidacji commands.allowFrom. Atakujący mogą wywołać dotknięte wywołania, aby oznaczyć siebie jako autoryzowanych nadawców przed zastosowaniem kontroli listy dozwolonych, co powoduje uruchomienie zachowań komend poza skonfigurowanymi ograniczeniami nadawców Telegrama.

OpenClaw przed wersją 2026.5.12 zawiera podatność w analizie opcji powłoki, która pozwala na obejście kontroli ponownej walidacji exec. Atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanych poleceń.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie zakresu w trasie chat.send bramy. Atakujący z zakresem operator.write mogą dostarczać polecenia przez dziedziczone zewnętrzne trasy, aby ominąć wymagania zakresów operator.approvals i operator.admin.

OpenClaw przed wersją 2026.4.29 zawiera lukę w polityce SSRF w trasach debugowania i eksportu przeglądarki, która pozwala na ponowne użycie już otwartych zablokowanych kart. Atakujący z dostępem do tych tras mogą ominąć politykę SSRF sieci prywatnej, wykorzystując zablokowane karty do eksportu lub inspekcji treści, które powinny być chronione.

W OpenClaw przed wersją 2026.5.18 wykryto podatność polegającą na pominięciu autoryzacji w natywnych przyciskach zatwierdzania QQBot. Brak wymuszenia tożsamości zatwierdzającego pozwala użytkownikom niebędącym zatwierdzającymi na kliknięcie przycisków i rozwiązywanie oczekujących wniosków o zatwierdzenie wykonania lub wtyczek bez odpowiedniej autoryzacji.

OpenClaw przed wersją 2026.4.29 zawiera podatność polegającą na obejściu polityki w komendach administracyjnych QQBot. Uwierzytelnieni nadawcy mogą pominąć sprawdzenia polityk DM-only i allowFrom, co pozwala na kierowanie komend administracyjnych z nieautoryzowanych źródeł lub kontekstów, wykonując zablokowane wcześniej działania.