Podatności OpenClaw

Podatność w OpenClaw przed 2026.5.12, umożliwiająca ominięcie listy blokowanych komend exec poprzez ścieżkę sesji MCP loopback. Uwierzytelnieni atakujący mogą uruchamiać szerszy zakres komend.

OpenClaw przed wersją 2026.5.27 zawiera podatność na wykonanie dowolnego kodu w procesie instalacji umiejętności, gdzie pliki .env w przestrzeni roboczej mogą nadpisywać wybór wykonywalnego pliku Homebrew. Atakujący z dostępem do zaufanych przestrzeni roboczych operatorów mogą uruchomić niezamierzone wykonywalne pliki kompatybilne z Homebrew podczas konfiguracji umiejętności, co może prowadzić do kompromitacji systemu.

OpenClaw przed wersją 2026.4.24 zawiera lukę w autoryzacji w funkcji pętli zwrotnej MCP, która pozwala na ominięcie polityk narzędzi przeznaczonych tylko dla właścicieli. Atakujący mogą wywołać zachowanie zarezerwowane dla właścicieli za pomocą tej podatnej ścieżki pętli zwrotnej.

OpenClaw przed wersją 2026.5.22 zawiera podatność na walidację lokalności w parowaniu interfejsu użytkownika, która pozwala atakującym z dostępem do sieci na fałszowanie informacji o lokalności i uzyskanie trwałych tokenów urządzeń z uprawnieniami administratora.

OpenClaw przed wersją 2026.5.18 zawiera lukę w walidacji pochodzenia w obsłudze zdarzeń węzłów, która pozwala sparowanym węzłom na fałszowanie zdarzeń cyklu życia exec bez autoryzacji system.run. Złośliwy lub skompromitowany sparowany węzeł może wysyłać spreparowane wiadomości node.event do bramy.

OpenClaw przed wersją 2026.5.19 zawiera lukę w autoryzacji, która pozwala na ominięcie kontroli listy dozwolonych kanałów podczas odczytu wiadomości. Użytkownicy o niższym poziomie zaufania mogą żądać wiadomości z kanałów, do których nie mają dostępu, co może prowadzić do ujawnienia wrażliwych informacji.

OpenClaw w wersjach przed 2026.5.20 zawiera podatność na eskalację uprawnień, w której agenci wywoływani przez hooki otrzymują niewłaściwe uprawnienia. Atakujący z ważnym tokenem hooka mogą wykorzystać punkt końcowy /hooks/agent, aby uzyskać dostęp do narzędzi MCP przeznaczonych tylko dla właściciela.

OpenClaw przed wersją 2026.4.25 zawiera podatność na przejście ścieżki w ładowaniu artefaktów memory-core, gdzie stan przestrzeni roboczej wpływa na rozwiązywanie lokalnych ścieżek pakietów. Atakujący z dostępem do podatnych przestrzeni roboczych mogą ładować artefakty memory-core z niezamierzonych lokalizacji, co może prowadzić do wykonania złośliwego kodu lub uzyskania dostępu do wrażliwych danych.

OpenClaw przed wersją 2026.5.18 zawiera podatność typu server-side request forgery w kontrolce przeglądarki, która pozwala uwierzytelnionym użytkownikom na ominięcie kontroli nawigacji w sieciach prywatnych poprzez interakcje z Playwright act. Atakujący mogą wywołać nawigację do celów w sieci prywatnej za pomocą przekierowań wywołanych akcją i następnie odczytać zawartość zastrzeżonych stron za pomocą możliwości oceny przeglądarki.

OpenClaw przed wersją 2026.5.7 zawiera podatność na eskalację uprawnień w funkcji allowFrom w Matrix, która pozwala uwierzytelnionym kontom na dopasowywanie wpisów polityki poprzez modyfikowalne metadane nazwy wyświetlanej. Atakujący, którzy mają możliwość zmiany nazw wyświetlanych, mogą uzyskać dostęp agenta przeznaczony dla innej tożsamości Matrix.

OpenClaw przed wersją 2026.5.18 zawiera podatność na wykonanie kodu, gdzie metadane rozszerzenia runtime rynku mogą przekierować ładowanie do nieprzeskanowanych ładunków pakietów. Atakujący z dostępem operatora zaufanego mogą manipulować metadanymi rozszerzenia, aby ładować kod wtyczki poza przeglądanymi punktami wejścia pakietu, omijając skanowanie bezpieczeństwa.

OpenClaw w wersjach przed 2026.4.25 zawiera lukę w polityce, która pozwala na obejście zasad wbudowanego runnera. Umożliwia to atakującym porównywanie aliasów dostawców zamiast ich kanonicznych tożsamości, co może prowadzić do nieautoryzowanego dostępu do narzędzi.

OpenClaw w wersjach przed 2026.5.6 zawiera lukę umożliwiającą obejście polityki zatwierdzania w procesie aplikacji w Skill Workshop. Umożliwia to atakującym wywołanie narzędzi agenta, które mogą ustawić apply: true mimo konfiguracji approvalPolicy: pending.

OpenClaw przed wersją 2026.5.6 zawiera lukę w autoryzacji w interaktywnych wywołaniach Telegrama, która pozwala uwierzytelnionym użytkownikom na ominięcie walidacji commands.allowFrom. Atakujący mogą wywołać dotknięte wywołania, aby oznaczyć siebie jako autoryzowanych nadawców przed zastosowaniem kontroli listy dozwolonych, co powoduje uruchomienie zachowań komend poza skonfigurowanymi ograniczeniami nadawców Telegrama.

OpenClaw przed wersją 2026.5.12 zawiera podatność w analizie opcji powłoki, która pozwala na obejście kontroli ponownej walidacji exec. Atakujący mogą wykorzystać tę podatność do wykonania nieautoryzowanych poleceń.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie zakresu w trasie chat.send bramy. Atakujący z zakresem operator.write mogą dostarczać polecenia przez dziedziczone zewnętrzne trasy, aby ominąć wymagania zakresów operator.approvals i operator.admin.

OpenClaw przed wersją 2026.4.29 zawiera lukę w polityce SSRF w trasach debugowania i eksportu przeglądarki, która pozwala na ponowne użycie już otwartych zablokowanych kart. Atakujący z dostępem do tych tras mogą ominąć politykę SSRF sieci prywatnej, wykorzystując zablokowane karty do eksportu lub inspekcji treści, które powinny być chronione.

W OpenClaw przed wersją 2026.5.18 wykryto podatność polegającą na pominięciu autoryzacji w natywnych przyciskach zatwierdzania QQBot. Brak wymuszenia tożsamości zatwierdzającego pozwala użytkownikom niebędącym zatwierdzającymi na kliknięcie przycisków i rozwiązywanie oczekujących wniosków o zatwierdzenie wykonania lub wtyczek bez odpowiedniej autoryzacji.

OpenClaw przed wersją 2026.4.29 zawiera podatność polegającą na obejściu polityki w komendach administracyjnych QQBot. Uwierzytelnieni nadawcy mogą pominąć sprawdzenia polityk DM-only i allowFrom, co pozwala na kierowanie komend administracyjnych z nieautoryzowanych źródeł lub kontekstów, wykonując zablokowane wcześniej działania.

OpenClaw przed wersją 2026.5.12 zawiera podatność eskalacji uprawnień w zatwierdzaniu wtyczek Slack. Użytkownicy z ograniczonymi uprawnieniami exec mogą ominąć podział zatwierdzeń i zatwierdzać działania wtyczek poza konfiguracją operatora.

Podatność w OpenClaw przed wersją 2026.5.4 w wbudowanym pluginie device-pair pozwala na ominięcie autoryzacji. Użytkownicy czatu z uprawnieniami do wysyłania wiadomości, którzy nie są właścicielami, mogą generować kody bootstrap do parowania urządzeń bez odpowiedniej walidacji zakresu uprawnień.

OpenClaw przed wersją 2026.4.2 nie normalizuje nazw hostów localhost z końcową kropką w odpowiedziach zdalnego wykrywania CDP, co pozwala na ominięcie ochrony pętli zwrotnej. Atakujący mogą spreparować wrogie odpowiedzi wykrywania zwracające localhost., aby przekierować uwierzytelnioną kontrolę przeglądarki do punktów końcowych localhost i ujawnić stan przeglądarki.

OpenClaw przed wersją 2026.3.28 zawiera podatność eskalacji uprawnień w funkcji chat.send, która pozwala wywołującym z zakresem zapisu na wywołanie operacji resetowania sesji zarezerwowanych dla administratora. Atakujący mogą rotować sesje docelowe, archiwizować poprzednie transkrypty i wymuszać nowe identyfikatory sesji bez wymaganego zakresu administratora, wykorzystując nieprawidłowe sprawdzanie autoryzacji w ścieżce chat.send.

OpenClaw przed wersją 2026.3.31 zawiera podatność typu path traversal w komponencie ACP dispatch. Atakujący może odczytać dowolne pliki, manipulując ścieżkami załączników kanałów przychodzących, omijając mechanizmy kontroli dostępu.

OpenClaw przed wersją 2026.3.31 zawiera niedostateczne oczyszczanie zmiennych środowiskowych w operacjach exec hosta, nie filtrując zmiennych dotyczących pakietów, rejestru, Dockera, kompilatora i TLS. Atakujący mogą wstrzyknąć złośliwe zmienne środowiskowe, aby nadpisać krytyczne konfiguracje systemu.

OpenClaw przed wersją 2026.3.28 zawiera podatność na ujawnienie zmiennych środowiskowych w polityce safe-bin jq. Filtr $ENV nie jest blokowany, co pozwala atakującemu na odczyt wrażliwych zmiennych środowiskowych.

OpenClaw w wersjach od 2026.2.14 do 2026.3.24 nie stosuje konsekwentnie bramek polityki kanałów i gildii do interakcji przycisków i komponentów Discorda. Atakujący mogą wywołać uprzywilejowane akcje komponentów z zablokowanych kontekstów, omijając egzekwowanie polityki kanałów.

OpenClaw przed wersją 2026.3.31 zawiera podatność na samodzielne umieszczanie na białej liście korzeni lokalnych w funkcji appendLocalMediaParentRoots, co umożliwia odczyt dowolnych plików hosta inicjowany przez model. Atakujący mogą wykorzystać nieprawidłową walidację katalogu nadrzędnego multimediów do eksfiltracji danych uwierzytelniających i dostępu do wrażliwych plików.

OpenClaw przed wersją 2026.3.31 zawiera podatność na ominięcie listy dozwolonych nadawców w historii wątków MS Teams pobieranej przez Graph API. Atakujący mogą pobrać wiadomości wątków, które powinny być filtrowane przez listy dozwolonych nadawców, omijając ograniczenia filtrowania wiadomości.

OpenClaw przed 2026.3.31 zawiera podatność na podążanie za dowiązaniami symbolicznymi w przesyłaniu archiwów tar przez SSH, co pozwala zdalnym atakującym na zapisywanie dowolnych plików poza piaskownicą.

OpenClaw w wersjach od 2026.2.6 do 2026.3.24 ma podatność typu path traversal w funkcji resolveUploadInput rozszerzenia Feishu, która omija ograniczenia piaskownicy systemu plików.

OpenClaw w wersjach od 2026.2.19 do 2026.3.30 ma niewłaściwą izolację pamięci podręcznej w mechanizmie deduplikacji webhooków Zalo. Atakujący kontrolujący jeden uwierzytelniony webhook może tłumić zdarzenia na innych kontach poprzez dopasowanie parametrów event_name i message_id.

OpenClaw przed wersją 2026.3.31 (załataną w 2026.4.8) zawiera podatność polegającą na powtórnym wysłaniu treści żądania (request body replay) w funkcji fetchWithSsrFGuard. Niebezpieczne treści żądań mogą być ponownie wysyłane podczas przekierowań między różnymi źródłami, co pozwala atakującemu na wyciek wrażliwych danych żądania lub nagłówków do niezamierzonych źródeł.

OpenClaw przed wersją 2026.4.2 ponownie używa weryfikatora PKCE jako parametru stanu OAuth w przepływie Gemini OAuth, ujawniając go w adresie URL przekierowania. Atakujący, którzy przechwycą URL przekierowania, mogą uzyskać zarówno kod autoryzacyjny, jak i weryfikator PKCE, omijając ochronę PKCE.

OpenClaw przed commit b57b680 zawiera lukę w zatwierdzaniu z powodu niespójnej normalizacji zmiennych środowiskowych między ścieżką zatwierdzania a wykonania. Atakujący może wstrzyknąć kontrolowane zmienne środowiskowe do wykonania, omijając walidację systemu zatwierdzania.

OpenClaw przed commit 8aceaf5 zawiera podatność w ochronie shell-bleed, która pozwala na ominięcie walidacji skryptów poprzez użycie potoków, podstawiania poleceń lub podpowłok. Atakujący może wykonać zablokowany kod skryptu.

OpenClaw przed wersją 2026.3.28 zawiera podatność na SSRF w komponencie fal provider image-generation-provider.ts. Atakujący może wykorzystać niezabezpieczone pobieranie obrazów do ujawnienia wewnętrznych metadanych usług i odpowiedzi przez potok obrazów.

OpenClaw przed wersją 2026.3.28 nie rozłącza aktywnych sesji WebSocket po usunięciu urządzeń lub unieważnieniu tokenów. Atakujący z unieważnionymi poświadczeniami mogą utrzymać nieautoryzowany dostęp przez istniejące aktywne sesje aż do wymuszonego ponownego połączenia.

OpenClaw przed wersją 2026.3.24 zawiera podatność na ominięcie piaskownicy (sandbox bypass) w narzędziu wiadomości, która pozwala atakującym na odczyt dowolnych lokalnych plików poprzez użycie parametrów aliasów mediaUrl i fileUrl, które omijają walidację localRoots. Zdalni atakujący mogą wykorzystać tę podatność, kierując żądania plików przez niezweryfikowane parametry aliasów, aby uzyskać dostęp do plików poza zamierzonym katalogiem piaskownicy.

OpenClaw przed wersją 2026.3.28 zawiera brak ograniczenia szybkości w uwierzytelnianiu webhooków Nextcloud Talk. Atakujący mogą brute-force'ować słabe współdzielone sekrety, aby sfałszować zdarzenia webhooka.

OpenClaw przed 2026.3.28 zawiera podatność w rozszerzeniach Google Chat i Zalouser, gdzie polityki allowlist na poziomie grupy są wyciszane do otwartej polityki. Atakujący może ominąć ograniczenia nadawcy i wchodzić w interakcje z botami.

OpenClaw przed wersją 2026.3.28 nie sprawdza wystarczająco zakresu uprawnień podczas zatwierdzania parowania węzłów. Operatorzy o niskich uprawnieniach mogą zatwierdzać węzły o szerszym zakresie, co pozwala na eskalację uprawnień na sparowanych węzłach.

OpenClaw przed wersją 2026.3.28 pobiera i zapisuje przychodzące multimedia z kanałów Zalo przed weryfikacją autoryzacji nadawcy. Nieautoryzowani nadawcy mogą wymusić pobieranie sieciowe i zapis na dysku do magazynu multimediów, wysyłając wiadomości, które są następnie odrzucane.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie listy dozwolonych nadawców we wtyczce Microsoft Teams. Gdy lista dozwolonych tras zespołu/kanału jest skonfigurowana z pustym parametrem groupAllowFrom, syntezator wiadomości tworzy autoryzację dla dowolnego nadawcy, umożliwiając nieautoryzowanym nadawcom wyzwalanie odpowiedzi w dozwolonych trasach Teams.

OpenClaw przed wersją 2026.3.12 stosuje ograniczenie szybkości tylko po pomyślnym uwierzytelnieniu webhooka, co pozwala atakującym na ominięcie limitów i brute-force sekretów webhooka. Atakujący mogą wysyłać powtarzane żądania uwierzytelnienia z nieprawidłowymi sekretami bez wyzwalania odpowiedzi ograniczenia szybkości, umożliwiając systematyczne odgadywanie sekretów i późniejsze fałszowanie żądań webhooka.

OpenClaw przed wersją 2026.3.11 zawiera podatność polegającą na obejściu granic piaskownicy (sandbox) w funkcji fs-bridge writeFile. Atakujący może wykorzystać warunek wyścigu (TOCTOU) poprzez modyfikację ścieżek nadrzędnych wewnątrz piaskownicy, co pozwala na zapis plików poza dozwolonym obszarem.

OpenClaw przed wersją 2026.3.11 zawiera podatność na ominięcie autoryzacji, która pozwala komendom kanałowym na modyfikację chronionej konfiguracji konta podrzędnego pomimo ograniczeń configWrites. Atakujący z autoryzowanym dostępem do jednego konta mogą wykonać komendy kanałowe, takie jak /config set channels.<provider>.accounts.<id>, aby zmodyfikować konfigurację na kontach docelowych z configWrites: false.

OpenClaw przed wersją 2026.3.11 zawiera podatność na wycofanie poświadczeń, gdzie niedostępne lokalne tokeny i hasła są traktowane jako nieustawione, co pozwala na wycofanie do zdalnych poświadczeń w trybie lokalnym. Atakujący mogą wykorzystać błędnie skonfigurowane lokalne referencje do ominięcia zamierzonych granic uwierzytelniania.

OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie zatwierdzenia w system.run, gdzie zmienne operandy skryptów nie są powiązane między fazą zatwierdzenia a wykonania. Atakujący mogą uzyskać zatwierdzenie do wykonania skryptu, zmodyfikować zatwierdzony plik skryptu przed wykonaniem i wykonać inną treść, zachowując ten sam zatwierdzony kształt polecenia.

OpenClaw w wersjach przed 2026.3.28 zawiera podatność na przejście ścieżki w analizie mediów, która pozwala atakującym na odczyt dowolnych plików poprzez obejście walidacji ścieżek. Wykorzystując niekompletną walidację, atakujący mogą uzyskać dostęp do plików poza zamkniętym środowiskiem aplikacji.