Katalog podatności CVE

OpenClaw w wersjach przed 2026.7.1 nie ogranicza narzędzi infrastrukturalnych przeznaczonych wyłącznie dla właściciela, udostępnianych przez endpoint chat.send. W wdrożeniach Gateway z trybami uwierzytelniania respektującymi tożsamość, operator niebędący właścicielem z uprawnieniami zapisu może rozpocząć turę czatu, której inwentarz narzędzi obejmuje narzędzia gateway i cron, powodując wywołanie przez agenta operacji konfiguracyjnych lub harmonogramowania zastrzeżonych dla właściciela, w tym trwałych zmian stanu. Luka została naprawiona w wersji 2026.7.1.

OpenClaw Slack w wersjach przed 2026.8.1 nie wymusza prawidłowo list dozwolonych nadawców w bezpośrednich wiadomościach grupowych. Niedozwoleni uczestnicy mogą wyzwalać agentów Slack i uzyskiwać dostęp do narzędzi i danych przyznanych tym agentom, omijając skonfigurowane polityki nadawców. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach >= 2026.3.28 i < 2026.8.1 pozwala niezaufanemu plikowi .env w workspace ustawić zmienną środowiskową CLOUDSDK_PYTHON_ARGS. Gdy operator uruchomi OpenClaw w treści workspace kontrolowanej przez atakującego, a następnie uruchomi przepływ konfiguracji Gmail, wartość ta jest dziedziczona przy uruchomieniu gcloud, a launcher gcloud przekazuje ją jako argumenty do zaufanego interpretera Python. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach przed 2026.8.1 nie ogranicza prawidłowo dostępu do zadań cron poleceń operatora, pozwalając wywołującym agenta widocznym dla modelu na odczyt i wykonanie zadań poleceń bez właściciela. Atakujący mogą sprawdzać przechowywane zmienne środowiskowe i wymuszać uruchomienie wyłączonych lub niezaplanowanych zadań poleceń, aby uzyskać dostęp do sekretów i wykonać polecenia autorstwa operatora. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach >= 2026.4.5 i < 2026.8.1 waliduje pojedynczy wynik rozwiązywania DNS dla skonfigurowanej nazwy hosta zdalnego Chrome DevTools Protocol (CDP), ale transporty WebSocket i Playwright wykonują później niezależne zapytanie DNS, odrzucając przypięcie DNS wymuszone w momencie walidacji. Atakujący kontrolujący zatwierdzoną nazwę hosta CDP lub jej odpowiedzi DNS może wykorzystać tę lukę typu check-then-use poprzez DNS rebinding, aby zmusić Gateway do połączenia się z adresem loopback, prywatnym, link-local, metadanych chmury lub innym adresem zabronionym przez politykę SSRF.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.22 i < 2026.8.1 zawiera lukę obejścia zatwierdzania w polityce zatwierdzania exec: polityka mogła zaufać wrapperowi uruchamiającemu polecenia bez sprawdzenia polecenia zawartego w jego argumentach. Po zatwierdzeniu lub trwałym zatwierdzeniu przez operatora nieszkodliwego wywołania wrappera, późniejsza tura agenta mogła podstawić dowolne wewnętrzne polecenie i wykonać je z uprawnieniami hosta procesu OpenClaw bez dodatkowego monitu o zatwierdzenie.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji, w której zatwierdzenia 'Allow Always' dla dokładnych poleceń są utrwalane jako uprawnienia tylko ścieżkowe w systemach macOS i Linux. Atakujący mogą ponownie użyć tego samego pliku wykonywalnego z różnymi argumentami, aby wykonać polecenia bez wywoływania nowych monitów o zatwierdzenie, potencjalnie uzyskując dostęp do plików lub usług wewnętrznych.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę w parserze poleceń, w której zmienione znaki nowej linii mylą parsowanie listy dozwolonych exec, umożliwiając wykonanie ukrytych poleceń. Atakujący mogą przygotować dane wejściowe ze zmienionymi znakami nowej linii, aby obejść walidację listy dozwolonych i wykonać dodatkowe polecenia bez oczekiwanych monitów o autoryzację.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę wyczerpania zasobów w listenerze Gateway, która pozwala nieuwierzytelnionym klientom zatrzymać gniazda odpowiedzi poprzez wysyłanie żądań uaktualnienia WebSocket bez pasującej semantyki połączenia. Atakujący mogą wielokrotnie wysyłać zniekształcone żądania uaktualnienia, aby wyczerpać zasoby listenera i spowodować odmowę usługi bez zużywania budżetu połączeń przed uwierzytelnieniem WebSocket.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w wysyłce narzędzi umiejętności, która nie przenosi statusu właściciela nadawcy. Nadawcy niebędący właścicielami, upoważnieni do wywoływania poleceń umiejętności, mogą uzyskać dostęp do narzędzi zastrzeżonych dla właściciela i poświadczeń serwera zarezerwowanych dla właścicieli.

OpenClaw to aplikacja bramy dystrybuowana przez npm. W wersjach >= 2026.7.1 i < 2026.8.1 dostarczanie załączników Synology Chat może utracić przypięcie DNS: Gateway waliduje pojedynczy wynik DNS dla dostarczonego adresu URL pliku, ale następnie przekazuje oryginalną nazwę hosta do Synology NAS, gdzie może ona zostać rozwiązana na inny cel. Gdy dostarczanie załączników akceptuje nazwę hosta pod wpływem zdalnym, atakujący może użyć DNS rebinding, aby zmusić NAS do pobrania prywatnego lub zabronionego zasobu i zwrócenia jego zawartości do rozmowy (SSRF).

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nie egzekwuje poprawnie polityk narzędzi na czat dla narzędzi runtime Codex app-server. Reguła tools.allow na poziomie rozmowy filtrowała narzędzia OpenClaw, ale nie ograniczała narzędzi shell, process, file i patch należących do runtime Codex. Gdy rozmowa o niższym zaufaniu została przypisana do runtime Codex i ograniczona listą dozwolonych narzędzi na czat, uczestnik mogący wywołać tego agenta mógł nadal uzyskać dostęp do natywnych narzędzi poleceń i plików, omijając skonfigurowaną listę dozwolonych.

OpenClaw dla iOS w wersjach >= 2026.7.1 i < 2026.8.11 nie egzekwuje zapisanych przypięć TLS Gateway w Control UI. Podczas gdy połączenia natywne egzekwowały zapisany odcisk palca Gateway, uwierzytelnione widoki Terminal i session Dashboard WebViews go pomijały. Jeśli użytkownik zaakceptował odcisk palca Gateway, atakujący mogący przekierować ten sam host i port oraz przedstawić inny certyfikat akceptowany przez zaufanie systemowe iOS może podać zastępczą stronę Control UI; otwarcie Terminala lub session Dashboard pozwala tej stronie odczytać wstrzyknięty token lub hasło Gateway.

Pakiet @openclaw/voice-call openclaw przed 2026.8.1 uruchamia skonfigurowanego agenta dla klasycznych przychodzących połączeń głosowych bez propagowania tożsamości dzwoniącego lub statusu niebędącego właścicielem. W rezultacie filtrowanie narzędzi zastrzeżonych dla właściciela może zawieść otwarcie i ujawnić normalne uprawnienia narzędzi agenta zdalnemu dzwoniącemu. Dzwoniący dopuszczony przez skonfigurowaną politykę połączeń przychodzących (otwarta, parowanie lub lista dozwolonych) wdrożenia z włączonymi połączeniami przychodzącymi może zatem sterować narzędziami przeznaczonymi dla zaufanego właściciela, potencjalnie odczytując dane, modyfikując pliki, wykonując polecenia lub kontrolując podłączone usługi w zależności od konfiguracji agenta.

Przed wersją 2026.8.1 pakiet npm openclaw mógł zawierać deterministyczne hashe obliczone na podstawie oryginalnej, niezacenzurowanej konfiguracji w odpowiedziach z zacenzurowaną konfiguracją. Gdy hasło bramy miało niską entropię, a pozostałe wartości konfiguracji były możliwe do odtworzenia, hashe te działały jako offline'owe weryfikatory hasła: osoba mogąca uzyskać zacenzurowaną konfigurację (np. przez config.get) mogła testować kandydatów na hasło offline, bez ograniczeń prędkości ścieżki uwierzytelniania bramy. Odtworzenie hasła mogło przyznać udokumentowaną władzę operatora opartą na wspólnym sekrecie. Odniesienia do sekretów nie były dotknięte w ten sam sposób. Problem naprawiono w wersji 2026.8.1.

Integracja Matrix w OpenClaw (pakiet npm @openclaw/matrix) w wersjach >= 2026.2.2 i < 2026.8.1 zamienia na małe litery całe identyfikatory użytkowników Matrix — w tym historyczne localparty i wrażliwą na wielkość liter część nazwy serwera — podczas wyprowadzania tożsamości autoryzacyjnej OpenClaw. W rezultacie różne uwierzytelnione konta Matrix mogą być znormalizowane do tej samej tożsamości autoryzacyjnej. Uczestnik Matrix kontrolujący kolidujące identyfikator konta (identyfikator ważny protokołowo, różniący się od skonfigurowanego tylko znakami, które OpenClaw składa przez case/Unicode; dopasowanie nazwy wyświetlanej nie jest wymagane) może przejąć uprawnienia allowlist, poleceń właściciela, zatwierdzania exec lub zatwierdzania wtyczek skonfigurowane dla innego konta. Problem naprawiono w wersji 2026.8.1.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.4.5 i < 2026.8.1 może utracić ograniczenia pochodzącego żądającego i niezaufane pochodzenie, gdy tekst pochodzący z sesji jest zapisywany w pamięci sesji. W środowiskach, gdzie przechwytywanie pamięci sesji i 'dreaming' są włączone, ograniczony zewnętrzny nadawca, którego wiadomości są dopuszczane z ograniczonymi narzędziami, może zapisać instrukcje, które później są dostarczane do nieobsługiwanego agenta działającego w tle (dreaming) z szerszymi możliwościami plików i poleceń, co pozwala na działania wykraczające poza uprawnienia pierwotnej tury i wpływające na pliki, polecenia lub usługi dostępne dla tego agenta. Eksploatacja wymaga, aby treść została przechwycona, wybrana do późniejszego przetwarzania i podążona przez model. Problem naprawiono w wersji 2026.8.1.

@openclaw/whatsapp (npm) przed wersją 2026.8.1 udostępnia narzędzie logowania WhatsApp przez ogólną ścieżkę narzędzi kanału bez zachowania statusu właściciela pochodzącego nadawcy, więc granica narzędzia tylko dla właściciela nie jest egzekwowana. Dopuszczony nadawca niebędący właścicielem, który może sterować narzędziem, może zażądać wymuszonego logowania i otrzymać nowy kod QR dla skonfigurowanego konta, co powoduje rozłączenie konta WhatsApp bramy i utratę dostępności; pełne ponowne powiązanie konta wymaga dodatkowo, aby atakujący zeskanował zwrócony kod QR innym telefonem. Problem dotyczy granicy narzędzia tylko dla właściciela, a nie uwierzytelniania transportu WhatsApp. Naprawiono w wersji 2026.8.1.

OpenClaw przed wersją 2026.8.1 nie wiąże kontekstu katalogu roboczego z wielokrotnego użytku zatwierdzeniami exec, co pozwala zatwierdzonym poleceniom wykonywać się w różnych katalogach. Atakujący z zatwierdzeniem 'allow-always' może go ponownie wykorzystać do uruchomienia tego samego polecenia przeciwko nieprzejrzanym plikom lub repozytoriom, co daje znacząco różne skutki.

Laranode przed wersją 1.2.1 zawiera podatność na path traversal w punkcie końcowym POST /filemanager/upload-file, która pozwala uwierzytelnionym użytkownikom zapisywać pliki arbitralnie poza ich katalogiem domowym. Atakujący mogą dostarczyć sekwencje traversal w parametrze path, aby zapisać pliki PHP w katalogach WWW innych dzierżawców i wykonać kod jako ci dzierżawcy.