Katalog podatności CVE

OpenClaw (pakiet npm `openclaw`) przed wersją 2026.7.1 nie egzekwuje udokumentowanego wymogu właściciela dla trwałych zmian polityki `/activation` w kanałach grupowych. Autoryzowany nadawca niebędący właścicielem może zmienić, czy agent wymaga aktywacji przez wzmiankę, co powoduje, że agent odpowiada szerzej w grupie (narażając swoje odpowiedzi na dodatkowy ruch grupowy) lub tłumi oczekiwane zachowanie aktywacji, dopóki właściciel nie przywróci ustawień.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach >= 2026.4.10 i < 2026.7.1 trwałe mutacje snu pamięci pomijają sprawdzenia uprawnień właściciela. Autoryzowany, ale niebędący właścicielem nadawca zewnętrznego kanału może wydać trwałe polecenia '/dreaming on' i '/dreaming off', aby włączyć lub wyłączyć zachowanie snu Memory Core bramy, wyłączając przetwarzanie pamięci w tle lub ponownie włączając trwałe promowanie pamięci, gdy właściciel oczekiwał, że pozostanie wyłączone; praktyczny wpływ na poufność, integralność i dostępność zależy od przechowywanego materiału konwersacji i późniejszego użycia pamięci.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach przed 2026.7.1 globalne przełączniki Active Memory mogły pomijać sprawdzenia właściciela. Autoryzowany nadawca zewnętrznego kanału niebędący właścicielem mógł trwale włączyć lub wyłączyć Active Memory dla bramy, wyłączając przywoływanie pamięci dla przyszłych sesji lub ponownie włączając globalne przywoływanie, gdy właściciel oczekiwał, że pozostanie wyłączone. Problem dotyczy tylko trwałych globalnych mutacji włącz/wyłącz; kontrola na poziomie sesji i status tylko do odczytu pozostają zgodne z istniejącą polityką poleceń.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w poleceniu /voice set, która pozwala nadawcom zewnętrznych kanałów niebędącym właścicielami na trwałe zapisywanie konfiguracji głosu bramy. Atakujący z dostępem do poleceń mogą zmienić głos używany w odpowiedziach Talk dla skonfigurowanego dostawcy, wpływając na integralność konfiguracji bez ujawniania poświadczeń ani przyznawania dodatkowych możliwości hosta.

OpenClaw to środowisko uruchomieniowe agenta dystrybuowane przez npm. W wersjach >= 2026.2.26 i < 2026.7.1 analiza poleceń PowerShell na hostach Windows działających w trybie listy dozwolonych exec mogła zatwierdzić dokładny plik wykonywalny rozwiązany z PATH, ale następnie wykonać plik wykonywalny o tej samej nazwie znajdujący się w katalogu roboczym. Jeśli treść o niższym zaufaniu może umieścić plik wykonywalny z zatwierdzoną nazwą bazową w katalogu roboczym agenta i skierować zatwierdzone polecenie PowerShell używające gołej nazwy pliku wykonywalnego, OpenClaw może uruchomić plik z katalogu roboczego zamiast ścieżki z listy dozwolonych, wykonując dowolny kod z uprawnieniami bramy lub użytkownika hosta.

OpenClaw Discord przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w akcjach odczytu metadanych gildii, która pozwala nadawcom o niższym zaufaniu na pobieranie informacji wykluczonych przez listy dozwolonych kanałów. Atakujący mogą ominąć skonfigurowaną politykę docelową odczytu Discord, aby uzyskać dostęp do metadanych gildii z serwerów lub kanałów spoza listy dozwolonych operatora.

Wtyczki kanałów OpenClaw (@openclaw/msteams, @openclaw/feishu, @openclaw/matrix i @openclaw/googlechat) przed wersją 2026.8.1 nie egzekwują skonfigurowanej listy dozwolonych odczytu kanałów dla jawnych celów odczytu dostarczanych przez wywołującego w akcjach odczytu wiadomości, reakcji, pinezek, członków i powiązanych metadanych. Nadawca o niższym zaufaniu lub sterowany agent z dostępem do akcji odczytu kanału może zatem pobierać treści lub metadane z kanałów lub pokoi wykluczonych przez politykę odczytu operatora; praktyczny wpływ zależy od uprawnień posiadanych przez podłączone konto bota.

OpenClaw dla iOS przed wersją 2026.8.11 przechowuje poświadczenia Gateway jako jawny tekst JSON w App Group UserDefaults zamiast w pęku kluczy urządzenia. Atakujący z dostępem do niezaszyfrowanych kopii zapasowych lub wyodrębnionych kontenerów App Group mogą odzyskać ważne tokeny i hasła Gateway, aby uwierzytelnić się z uprawnieniami operatora.

OpenClaw przed wersją 2026.8.1 nie weryfikuje adresów URL zasobów wideo zwracanych przez dostawców, co umożliwia żądania po stronie serwera do prywatnych miejsc docelowych. Złośliwy lub skompromitowany dostawca może zwrócić prywatne adresy URL lub adresy pętli zwrotnej, powodując, że CLI wysyła żądania do wewnętrznych usług dostępnych z hosta OpenClaw.

OpenClaw przed wersją 2026.8.1 zawiera podatność na fałszowanie żądań po stronie serwera w predykatach oczekiwania przeglądarki, umożliwiającą atakującym obejście zabezpieczeń SSRF przez dotarcie do zablokowanych miejsc docelowych. Atakujący mogą użyć funkcji wait --fn w istniejącej sesji przeglądarki, aby wysłać żądania do adresów pętli zwrotnej lub prywatnych, bez kontroli nawigacji stosowanych do innych działań przeglądarki.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 zawiera podatność na fałszowanie żądań po stronie serwera w kontrolach DNS zaufanych hostów. Dla pobrań używających ponownego sprawdzenia DNS zaufanego hosta, zaufana nazwa hosta, która rozwiązuje się na nieokreślony adres (0.0.0.0 lub ::), omija walidację miejsca docelowego SSRF. Atakujący, który może wpływać na DNS dla dozwolonej nazwy hosta, może spowodować, że chronione pobranie dotrze do usługi związanej tylko z pętlą zwrotną i ujawni jej odpowiedź; praktyczny wpływ zależy od dostępnej usługi i zwracanych danych. Naprawiono w 2026.8.1.

OpenClaw w wersjach >= 2026.3.25 i < 2026.8.1 stosuje ograniczanie szybkości dla nieprawidłowych tokenów webhooków Synology Chat przed uwierzytelnieniem i kluczuje limit na surowym adresie gniazda proxy. We wdrożeniach, gdzie OpenClaw znajduje się za zaufanym odwrotnym proxy lub tunelem i wielu zewnętrznych klientów współdzieli jeden adres gniazda, nieuwierzytelniony nadawca może wyczerpać wspólny budżet nieprawidłowych tokenów, powodując odrzucanie kolejnych prawidłowych wywołań webhooków Synology Chat do czasu wygaśnięcia okna ograniczania. Atakujący nie może uzyskać ważnego tokenu ani odczytać danych wiadomości; wpływ to tymczasowa utrata dostępności kanału. Naprawiono w 2026.8.1.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.6.6 i < 2026.8.1 stosuje ograniczanie szybkości dla nieprawidłowych żądań webhooków SMS przed weryfikacją podpisu Twilio i identyfikuje klientów tylko po surowym adresie gniazda proxy. We wdrożeniach, gdzie webhook SMS/Twilio znajduje się za zaufanym odwrotnym proxy lub tunelem, tak że wielu zewnętrznych klientów współdzieli jeden adres gniazda, nieuwierzytelniony zdalny nadawca może wyczerpać wspólny budżet ograniczania przed uwierzytelnieniem nieprawidłowymi żądaniami, powodując, że kolejne poprawnie podpisane wywołania Twilio otrzymują odpowiedzi HTTP 429. Wynikiem jest tymczasowa utrata przychodzących SMS-ów, dopóki wspólne okno pozostaje wyczerpane; atakujący nie może sfałszować wywołania ani uzyskać dostępu do danych wiadomości. Naprawiono w 2026.8.1.

OpenClaw to aplikacja dystrybuowana przez npm. W wersjach >= 2026.4.25 i < 2026.8.1 filtr zmiennych środowiskowych obszaru roboczego nie blokował zmiennych kończących się na `_ENDPOINT`, więc niezaufany plik `.env` w obszarze roboczym mógł ustawić AZURE_SPEECH_ENDPOINT. Azure Speech preferował tę wartość nad skonfigurowanym regionem, więc gdy wykonano żądanie syntezy lub listy głosów, wybrany przez atakującego punkt końcowy otrzymał klucz Azure Speech operatora w nagłówku żądania, umożliwiając ponowne użycie klucza przeciwko zasobowi Azure Speech operatora. Eksploatacja wymaga, aby operator uruchomił OpenClaw w treści obszaru roboczego kontrolowanej przez atakującego z skonfigurowanym Azure Speech z kluczem i regionem oraz bez ustawionego zaufanego nadpisania punktu końcowego. Problem naprawiono w 2026.8.1.

OpenClaw LINE przed wersją 2026.8.1 zawiera podatność kontroli dostępu, gdzie tryb listy dozwolonych grup po cichu dziedziczy wartości DM allowFrom, gdy groupAllowFrom nie jest jawnie skonfigurowane. Atakujący z uczestnictwem w grupie mogą wywołać agenta pomimo skonfigurowanych ograniczeń listy dozwolonych grup, gdy dostęp DM jest szerszy niż zamierzony dostęp grupowy.

OpenClaw przed wersją 2026.8.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w nazwach wyświetlanych uczestników w eksportach CSV obecności. Atakujący mogą wstrzyknąć komórki przypominające formuły, które wykonują się z uprawnieniami użytkownika arkusza kalkulacyjnego, gdy eksport zostanie otwarty w aplikacjach z obsługą formuł.

OpenClaw (pakiet npm `openclaw`) przed wersją 2026.8.1 nie neutralizuje wiodących znaków, które aplikacje arkuszy kalkulacyjnych interpretują jako formuły, gdy Control UI eksportuje dane sesji do CSV. Chociaż etykiety sesji były cytowane jako tekst CSV, uczestnik o niższym zaufaniu, który może wpływać na etykietę sesji lub pierwszą wiadomość użytkownika, może umieścić komórkę przypominającą formułę w eksporcie Usage; jeśli operator otworzy ten eksport w aplikacji arkusza kalkulacyjnego z włączoną oceną formuł, komórka może zostać oceniona z uprawnieniami użytkownika arkusza kalkulacyjnego. Sam OpenClaw nie ocenia formuły, a praktyczny wpływ zależy od ustawień bezpieczeństwa aplikacji arkusza kalkulacyjnego. Problem naprawiono w 2026.8.1.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w punkcie końcowym sessions.create. Umożliwia ona wywołującym z uprawnieniem operator.write modyfikowanie konfiguracji sesji zarezerwowanych dla zakresu operator.admin.

OpenClaw (pakiet npm openclaw) w wersjach >= 2026.5.2 i < 2026.8.1 zawiera lukę nieprawidłowej autoryzacji w obsłudze grup WhatsApp. Nadawca dopuszczony do zwykłych wiadomości, ale odrzucony przez commands.allowFrom lub autoryzację właściciela, może wydać polecenie /new <model>, resetując współdzieloną sesję grupową i utrwalając nadpisanie dostawcy i modelu.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.5.12 i < 2026.8.1 nie unieważnia natychmiast autoryzacji HTTP Canvas po odwołaniu sparowanego węzła. Odwołanie węzła unieważnia klienta WebSocket, ale autoryzacja HTTP Canvas nadal akceptuje i odnawia wcześniej przyznaną zdolność do zakończenia czyszczenia po zamknięciu WebSocket.