Katalog podatności CVE

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w wysyłce narzędzi umiejętności, która nie przenosi statusu właściciela nadawcy. Nadawcy niebędący właścicielami, upoważnieni do wywoływania poleceń umiejętności, mogą uzyskać dostęp do narzędzi zastrzeżonych dla właściciela i poświadczeń serwera zarezerwowanych dla właścicieli.

OpenClaw (pakiet npm openclaw) w wersjach >= 2026.5.2 i < 2026.8.1 zawiera lukę nieprawidłowej autoryzacji w obsłudze grup WhatsApp. Nadawca dopuszczony do zwykłych wiadomości, ale odrzucony przez commands.allowFrom lub autoryzację właściciela, może wydać polecenie /new <model>, resetując współdzieloną sesję grupową i utrwalając nadpisanie dostawcy i modelu.

OpenClaw to aplikacja bramy dystrybuowana przez npm. W wersjach >= 2026.7.1 i < 2026.8.1 dostarczanie załączników Synology Chat może utracić przypięcie DNS: Gateway waliduje pojedynczy wynik DNS dla dostarczonego adresu URL pliku, ale następnie przekazuje oryginalną nazwę hosta do Synology NAS, gdzie może ona zostać rozwiązana na inny cel. Gdy dostarczanie załączników akceptuje nazwę hosta pod wpływem zdalnym, atakujący może użyć DNS rebinding, aby zmusić NAS do pobrania prywatnego lub zabronionego zasobu i zwrócenia jego zawartości do rozmowy (SSRF).

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.5.12 i < 2026.8.1 nie unieważnia natychmiast autoryzacji HTTP Canvas po odwołaniu sparowanego węzła. Odwołanie węzła unieważnia klienta WebSocket, ale autoryzacja HTTP Canvas nadal akceptuje i odnawia wcześniej przyznaną zdolność do zakończenia czyszczenia po zamknięciu WebSocket.

OpenClaw w wersjach >= 2026.6.9 i < 2026.8.1 nie deklaruje natywnego parametru chatId jako celu dostarczania w funkcji odpinania Feishu, więc żądania odpięcia mogą obejść współdzieloną kontrolę celu między kontekstami tego samego dostawcy. Gdy tools.message.crossContext.allowWithinProvider jest wyłączone, uwierzytelniony nadawca może usunąć przypięcie z innej grupy Feishu, do której nadawca i skonfigurowane konto mają dostęp.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nie egzekwuje poprawnie polityk narzędzi na czat dla narzędzi runtime Codex app-server. Reguła tools.allow na poziomie rozmowy filtrowała narzędzia OpenClaw, ale nie ograniczała narzędzi shell, process, file i patch należących do runtime Codex. Gdy rozmowa o niższym zaufaniu została przypisana do runtime Codex i ograniczona listą dozwolonych narzędzi na czat, uczestnik mogący wywołać tego agenta mógł nadal uzyskać dostęp do natywnych narzędzi poleceń i plików, omijając skonfigurowaną listę dozwolonych.

OpenClaw dla iOS w wersjach >= 2026.7.1 i < 2026.8.11 nie egzekwuje zapisanych przypięć TLS Gateway w Control UI. Podczas gdy połączenia natywne egzekwowały zapisany odcisk palca Gateway, uwierzytelnione widoki Terminal i session Dashboard WebViews go pomijały. Jeśli użytkownik zaakceptował odcisk palca Gateway, atakujący mogący przekierować ten sam host i port oraz przedstawić inny certyfikat akceptowany przez zaufanie systemowe iOS może podać zastępczą stronę Control UI; otwarcie Terminala lub session Dashboard pozwala tej stronie odczytać wstrzyknięty token lub hasło Gateway.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 zawiera obejście kontroli dostępu w integracji Microsoft Teams. Gdy groupPolicy jest ustawione na allowlist, brakująca lub nieobsługiwana skonfigurowana grupa dostępu powoduje wynik rozwiązywania grupy jako odmowa, który nie jest odrzucany przez końcową kontrolę dopuszczenia wiadomości.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę path traversal w obsłudze załączników głosowych QQBot, gdzie nazwy plików są dekodowane dwukrotnie, pozwalając zakodowanym segmentom traversal pojawić się ponownie po sanityzacji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.28 i < 2026.8.1 zawiera problem ujawnienia poświadczeń w mechanizmie awaryjnym osadzania pamięci. Gdy skonfigurowany jest zdalny fallback osadzania, a główny dostawca osadzania zawiedzie, żądanie może zostać wysłane do innego dostawcy fallback, nadal używając skonfigurowanego klucza API głównego dostawcy.

OpenClaw to agent kodujący dystrybuowany jako pakiet npm 'openclaw'. W wersjach 2026.7.1 do 2026.7.2 alternatywne, ale prawidłowe zapisy URL 'file:' dostarczone przez Agent Client Protocol (ACP) były traktowane jako ścieżki względne i nieprawidłowo klasyfikowane jako odczyty ograniczone do katalogu roboczego sesji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.7.2 i < 2026.9.2 zawiera warunek wyścigu w ścieżce transkrypcji głosowej czasu rzeczywistego Discord. Równoczesne transkrypcje głosowe klasyfikowane jako kontrolne mogły zużyć kontekst mówcy należący do innego uczestnika po asynchronicznej kontroli, powodując, że transkrypcja dziedziczy status właściciela innego mówcy.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nieprawidłowo egzekwuje polityki narzędzi nadawcy podczas generowania nazw plików pamięci sesji. W dotkniętych wersjach generowanie nazw plików tworzyło wbudowany helper, który zachowywał narzędzia usunięte przez politykę nadawcy źródłowego.

Pakiet @openclaw/voice-call openclaw przed 2026.8.1 uruchamia skonfigurowanego agenta dla klasycznych przychodzących połączeń głosowych bez propagowania tożsamości dzwoniącego lub statusu niebędącego właścicielem. W rezultacie filtrowanie narzędzi zastrzeżonych dla właściciela może zawieść otwarcie i ujawnić normalne uprawnienia narzędzi agenta zdalnemu dzwoniącemu. Dzwoniący dopuszczony przez skonfigurowaną politykę połączeń przychodzących (otwarta, parowanie lub lista dozwolonych) wdrożenia z włączonymi połączeniami przychodzącymi może zatem sterować narzędziami przeznaczonymi dla zaufanego właściciela, potencjalnie odczytując dane, modyfikując pliki, wykonując polecenia lub kontrolując podłączone usługi w zależności od konfiguracji agenta.

Przed wersją 2026.8.1 pakiet npm openclaw mógł zawierać deterministyczne hashe obliczone na podstawie oryginalnej, niezacenzurowanej konfiguracji w odpowiedziach z zacenzurowaną konfiguracją. Gdy hasło bramy miało niską entropię, a pozostałe wartości konfiguracji były możliwe do odtworzenia, hashe te działały jako offline'owe weryfikatory hasła: osoba mogąca uzyskać zacenzurowaną konfigurację (np. przez config.get) mogła testować kandydatów na hasło offline, bez ograniczeń prędkości ścieżki uwierzytelniania bramy. Odtworzenie hasła mogło przyznać udokumentowaną władzę operatora opartą na wspólnym sekrecie. Odniesienia do sekretów nie były dotknięte w ten sam sposób. Problem naprawiono w wersji 2026.8.1.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.5.28 i < 2026.8.1 nieprawidłowo obsługuje listy archiwów w instalatorze umiejętności tar.bz2: ograniczone sufiksy wyjścia poleceń były traktowane jako pełne listy archiwum. Specjalnie spreparowane archiwum .tar.bz2/.tbz2 może wypchnąć zabronione wpisy poza obie zachowane listy, tak że kontrole liczby wpisów i rozmiaru przechodzą, a archiwum jest następnie w pełni rozpakowywane. Jeśli operator zatwierdzi instalację takiego złośliwego lub skompromitowanego archiwum umiejętności, pliki lub wpisy przekraczające limit są utrwalane w katalogu narzędzi umiejętności, zużywając miejsce na dysku lub i-węzły. Problem omija budżety ekstrakcji OpenClaw, ale sam w sobie nie wykonuje zawartości archiwum. Naprawiono w 2026.8.1.

Integracja Matrix w OpenClaw (pakiet npm @openclaw/matrix) w wersjach >= 2026.2.2 i < 2026.8.1 zamienia na małe litery całe identyfikatory użytkowników Matrix — w tym historyczne localparty i wrażliwą na wielkość liter część nazwy serwera — podczas wyprowadzania tożsamości autoryzacyjnej OpenClaw. W rezultacie różne uwierzytelnione konta Matrix mogą być znormalizowane do tej samej tożsamości autoryzacyjnej. Uczestnik Matrix kontrolujący kolidujące identyfikator konta (identyfikator ważny protokołowo, różniący się od skonfigurowanego tylko znakami, które OpenClaw składa przez case/Unicode; dopasowanie nazwy wyświetlanej nie jest wymagane) może przejąć uprawnienia allowlist, poleceń właściciela, zatwierdzania exec lub zatwierdzania wtyczek skonfigurowane dla innego konta. Problem naprawiono w wersji 2026.8.1.

OpenClaw Feishu przed wersją 2026.8.1 nie weryfikuje, czy skonfigurowane konto domyślne jest wyłączone, zanim wybierze je do operacji narzędzi modelu. Atakujący mogą wykorzystać konfiguracje z wieloma kontami, gdzie wyłączone konto domyślne zachowuje poświadczenia, aby czytać lub modyfikować zasoby Feishu przez odwołaną tożsamość.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie odwołuje dostępu do narzędzi pamięci, gdy operator wyłącza konfigurację pamięci na gorąco. Istniejące instancje narzędzi memory_search i memory_get zachowują włączoną konfigurację przechwyconą w momencie tworzenia, ponieważ resolver czasu wykonania traktuje jawne wyłączenie jak niedostępny snapshot konfiguracji i przywraca nieaktualne uprawnienia. W rezultacie podczas już trwającej tury agenta model może nadal przeszukiwać i odczytywać trwałą pamięć po tym, jak operator cofnął ten dostęp, do końca tej tury. Eksploatacja wymaga wyłączenia pamięci, podczas gdy wcześniej utworzone narzędzie pamięci pozostaje aktywne. Problem naprawiono w 2026.8.1.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje polityki toolsBySender nadawcy (globalnej lub per-agent) podczas obsługi wychodzących załączników. Nadawca, któremu jawnie odmówiono narzędzi do odczytu plików, może nadal spowodować odczyt znanego lokalnego pliku i zwrócenie go przez dyrektywę mediów w odpowiedzi końcowej lub załącznik wiadomości, ujawniając zawartość lokalnych plików.