Podatności OpenClaw

OpenClaw przed wersją 2026.5.12 zawiera podatność eskalacji uprawnień w zatwierdzaniu wtyczek Slack. Użytkownicy z ograniczonymi uprawnieniami exec mogą ominąć podział zatwierdzeń i zatwierdzać działania wtyczek poza konfiguracją operatora.

Podatność w OpenClaw przed wersją 2026.5.4 w wbudowanym pluginie device-pair pozwala na ominięcie autoryzacji. Użytkownicy czatu z uprawnieniami do wysyłania wiadomości, którzy nie są właścicielami, mogą generować kody bootstrap do parowania urządzeń bez odpowiedniej walidacji zakresu uprawnień.

OpenClaw przed wersją 2026.4.2 nie normalizuje nazw hostów localhost z końcową kropką w odpowiedziach zdalnego wykrywania CDP, co pozwala na ominięcie ochrony pętli zwrotnej. Atakujący mogą spreparować wrogie odpowiedzi wykrywania zwracające localhost., aby przekierować uwierzytelnioną kontrolę przeglądarki do punktów końcowych localhost i ujawnić stan przeglądarki.

OpenClaw przed wersją 2026.3.28 zawiera podatność eskalacji uprawnień w funkcji chat.send, która pozwala wywołującym z zakresem zapisu na wywołanie operacji resetowania sesji zarezerwowanych dla administratora. Atakujący mogą rotować sesje docelowe, archiwizować poprzednie transkrypty i wymuszać nowe identyfikatory sesji bez wymaganego zakresu administratora, wykorzystując nieprawidłowe sprawdzanie autoryzacji w ścieżce chat.send.

OpenClaw przed wersją 2026.3.31 zawiera podatność typu path traversal w komponencie ACP dispatch. Atakujący może odczytać dowolne pliki, manipulując ścieżkami załączników kanałów przychodzących, omijając mechanizmy kontroli dostępu.

OpenClaw przed wersją 2026.3.31 zawiera niedostateczne oczyszczanie zmiennych środowiskowych w operacjach exec hosta, nie filtrując zmiennych dotyczących pakietów, rejestru, Dockera, kompilatora i TLS. Atakujący mogą wstrzyknąć złośliwe zmienne środowiskowe, aby nadpisać krytyczne konfiguracje systemu.

OpenClaw przed wersją 2026.3.28 zawiera podatność na ujawnienie zmiennych środowiskowych w polityce safe-bin jq. Filtr $ENV nie jest blokowany, co pozwala atakującemu na odczyt wrażliwych zmiennych środowiskowych.

OpenClaw w wersjach od 2026.2.14 do 2026.3.24 nie stosuje konsekwentnie bramek polityki kanałów i gildii do interakcji przycisków i komponentów Discorda. Atakujący mogą wywołać uprzywilejowane akcje komponentów z zablokowanych kontekstów, omijając egzekwowanie polityki kanałów.

OpenClaw przed wersją 2026.3.31 zawiera podatność na samodzielne umieszczanie na białej liście korzeni lokalnych w funkcji appendLocalMediaParentRoots, co umożliwia odczyt dowolnych plików hosta inicjowany przez model. Atakujący mogą wykorzystać nieprawidłową walidację katalogu nadrzędnego multimediów do eksfiltracji danych uwierzytelniających i dostępu do wrażliwych plików.

OpenClaw przed wersją 2026.3.31 zawiera podatność na ominięcie listy dozwolonych nadawców w historii wątków MS Teams pobieranej przez Graph API. Atakujący mogą pobrać wiadomości wątków, które powinny być filtrowane przez listy dozwolonych nadawców, omijając ograniczenia filtrowania wiadomości.

OpenClaw przed 2026.3.31 zawiera podatność na podążanie za dowiązaniami symbolicznymi w przesyłaniu archiwów tar przez SSH, co pozwala zdalnym atakującym na zapisywanie dowolnych plików poza piaskownicą.

OpenClaw w wersjach od 2026.2.6 do 2026.3.24 ma podatność typu path traversal w funkcji resolveUploadInput rozszerzenia Feishu, która omija ograniczenia piaskownicy systemu plików.

OpenClaw w wersjach od 2026.2.19 do 2026.3.30 ma niewłaściwą izolację pamięci podręcznej w mechanizmie deduplikacji webhooków Zalo. Atakujący kontrolujący jeden uwierzytelniony webhook może tłumić zdarzenia na innych kontach poprzez dopasowanie parametrów event_name i message_id.

OpenClaw przed wersją 2026.3.31 (załataną w 2026.4.8) zawiera podatność polegającą na powtórnym wysłaniu treści żądania (request body replay) w funkcji fetchWithSsrFGuard. Niebezpieczne treści żądań mogą być ponownie wysyłane podczas przekierowań między różnymi źródłami, co pozwala atakującemu na wyciek wrażliwych danych żądania lub nagłówków do niezamierzonych źródeł.

OpenClaw przed wersją 2026.4.2 ponownie używa weryfikatora PKCE jako parametru stanu OAuth w przepływie Gemini OAuth, ujawniając go w adresie URL przekierowania. Atakujący, którzy przechwycą URL przekierowania, mogą uzyskać zarówno kod autoryzacyjny, jak i weryfikator PKCE, omijając ochronę PKCE.

OpenClaw przed commit b57b680 zawiera lukę w zatwierdzaniu z powodu niespójnej normalizacji zmiennych środowiskowych między ścieżką zatwierdzania a wykonania. Atakujący może wstrzyknąć kontrolowane zmienne środowiskowe do wykonania, omijając walidację systemu zatwierdzania.

OpenClaw przed commit 8aceaf5 zawiera podatność w ochronie shell-bleed, która pozwala na ominięcie walidacji skryptów poprzez użycie potoków, podstawiania poleceń lub podpowłok. Atakujący może wykonać zablokowany kod skryptu.

OpenClaw przed wersją 2026.3.28 zawiera podatność na SSRF w komponencie fal provider image-generation-provider.ts. Atakujący może wykorzystać niezabezpieczone pobieranie obrazów do ujawnienia wewnętrznych metadanych usług i odpowiedzi przez potok obrazów.

OpenClaw przed wersją 2026.3.28 nie rozłącza aktywnych sesji WebSocket po usunięciu urządzeń lub unieważnieniu tokenów. Atakujący z unieważnionymi poświadczeniami mogą utrzymać nieautoryzowany dostęp przez istniejące aktywne sesje aż do wymuszonego ponownego połączenia.

OpenClaw przed wersją 2026.3.24 zawiera podatność na ominięcie piaskownicy (sandbox bypass) w narzędziu wiadomości, która pozwala atakującym na odczyt dowolnych lokalnych plików poprzez użycie parametrów aliasów mediaUrl i fileUrl, które omijają walidację localRoots. Zdalni atakujący mogą wykorzystać tę podatność, kierując żądania plików przez niezweryfikowane parametry aliasów, aby uzyskać dostęp do plików poza zamierzonym katalogiem piaskownicy.

OpenClaw przed wersją 2026.3.28 zawiera brak ograniczenia szybkości w uwierzytelnianiu webhooków Nextcloud Talk. Atakujący mogą brute-force'ować słabe współdzielone sekrety, aby sfałszować zdarzenia webhooka.

OpenClaw przed 2026.3.28 zawiera podatność w rozszerzeniach Google Chat i Zalouser, gdzie polityki allowlist na poziomie grupy są wyciszane do otwartej polityki. Atakujący może ominąć ograniczenia nadawcy i wchodzić w interakcje z botami.

OpenClaw przed wersją 2026.3.28 nie sprawdza wystarczająco zakresu uprawnień podczas zatwierdzania parowania węzłów. Operatorzy o niskich uprawnieniach mogą zatwierdzać węzły o szerszym zakresie, co pozwala na eskalację uprawnień na sparowanych węzłach.

OpenClaw przed wersją 2026.3.28 pobiera i zapisuje przychodzące multimedia z kanałów Zalo przed weryfikacją autoryzacji nadawcy. Nieautoryzowani nadawcy mogą wymusić pobieranie sieciowe i zapis na dysku do magazynu multimediów, wysyłając wiadomości, które są następnie odrzucane.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie listy dozwolonych nadawców we wtyczce Microsoft Teams. Gdy lista dozwolonych tras zespołu/kanału jest skonfigurowana z pustym parametrem groupAllowFrom, syntezator wiadomości tworzy autoryzację dla dowolnego nadawcy, umożliwiając nieautoryzowanym nadawcom wyzwalanie odpowiedzi w dozwolonych trasach Teams.

OpenClaw przed wersją 2026.3.12 stosuje ograniczenie szybkości tylko po pomyślnym uwierzytelnieniu webhooka, co pozwala atakującym na ominięcie limitów i brute-force sekretów webhooka. Atakujący mogą wysyłać powtarzane żądania uwierzytelnienia z nieprawidłowymi sekretami bez wyzwalania odpowiedzi ograniczenia szybkości, umożliwiając systematyczne odgadywanie sekretów i późniejsze fałszowanie żądań webhooka.

OpenClaw przed wersją 2026.3.11 zawiera podatność polegającą na obejściu granic piaskownicy (sandbox) w funkcji fs-bridge writeFile. Atakujący może wykorzystać warunek wyścigu (TOCTOU) poprzez modyfikację ścieżek nadrzędnych wewnątrz piaskownicy, co pozwala na zapis plików poza dozwolonym obszarem.

OpenClaw przed wersją 2026.3.11 zawiera podatność na ominięcie autoryzacji, która pozwala komendom kanałowym na modyfikację chronionej konfiguracji konta podrzędnego pomimo ograniczeń configWrites. Atakujący z autoryzowanym dostępem do jednego konta mogą wykonać komendy kanałowe, takie jak /config set channels.<provider>.accounts.<id>, aby zmodyfikować konfigurację na kontach docelowych z configWrites: false.

OpenClaw przed wersją 2026.3.11 zawiera podatność na wycofanie poświadczeń, gdzie niedostępne lokalne tokeny i hasła są traktowane jako nieustawione, co pozwala na wycofanie do zdalnych poświadczeń w trybie lokalnym. Atakujący mogą wykorzystać błędnie skonfigurowane lokalne referencje do ominięcia zamierzonych granic uwierzytelniania.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie zatwierdzenia w system.run, gdzie zmienne operandy skryptów nie są powiązane między fazą zatwierdzenia a wykonania. Atakujący mogą uzyskać zatwierdzenie do wykonania skryptu, zmodyfikować zatwierdzony plik skryptu przed wykonaniem i wykonać inną treść, zachowując ten sam zatwierdzony kształt polecenia.