Katalog podatności CVE

OpenClaw w wersjach >= 2026.6.9 i < 2026.8.1 nie deklaruje natywnego parametru chatId jako celu dostarczania w funkcji odpinania Feishu, więc żądania odpięcia mogą obejść współdzieloną kontrolę celu między kontekstami tego samego dostawcy. Gdy tools.message.crossContext.allowWithinProvider jest wyłączone, uwierzytelniony nadawca może usunąć przypięcie z innej grupy Feishu, do której nadawca i skonfigurowane konto mają dostęp.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 zawiera obejście kontroli dostępu w integracji Microsoft Teams. Gdy groupPolicy jest ustawione na allowlist, brakująca lub nieobsługiwana skonfigurowana grupa dostępu powoduje wynik rozwiązywania grupy jako odmowa, który nie jest odrzucany przez końcową kontrolę dopuszczenia wiadomości.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę path traversal w obsłudze załączników głosowych QQBot, gdzie nazwy plików są dekodowane dwukrotnie, pozwalając zakodowanym segmentom traversal pojawić się ponownie po sanityzacji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.28 i < 2026.8.1 zawiera problem ujawnienia poświadczeń w mechanizmie awaryjnym osadzania pamięci. Gdy skonfigurowany jest zdalny fallback osadzania, a główny dostawca osadzania zawiedzie, żądanie może zostać wysłane do innego dostawcy fallback, nadal używając skonfigurowanego klucza API głównego dostawcy.

OpenClaw to agent kodujący dystrybuowany jako pakiet npm 'openclaw'. W wersjach 2026.7.1 do 2026.7.2 alternatywne, ale prawidłowe zapisy URL 'file:' dostarczone przez Agent Client Protocol (ACP) były traktowane jako ścieżki względne i nieprawidłowo klasyfikowane jako odczyty ograniczone do katalogu roboczego sesji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.7.2 i < 2026.9.2 zawiera warunek wyścigu w ścieżce transkrypcji głosowej czasu rzeczywistego Discord. Równoczesne transkrypcje głosowe klasyfikowane jako kontrolne mogły zużyć kontekst mówcy należący do innego uczestnika po asynchronicznej kontroli, powodując, że transkrypcja dziedziczy status właściciela innego mówcy.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nieprawidłowo egzekwuje polityki narzędzi nadawcy podczas generowania nazw plików pamięci sesji. W dotkniętych wersjach generowanie nazw plików tworzyło wbudowany helper, który zachowywał narzędzia usunięte przez politykę nadawcy źródłowego.

OpenClaw Feishu przed wersją 2026.8.1 nie weryfikuje, czy skonfigurowane konto domyślne jest wyłączone, zanim wybierze je do operacji narzędzi modelu. Atakujący mogą wykorzystać konfiguracje z wieloma kontami, gdzie wyłączone konto domyślne zachowuje poświadczenia, aby czytać lub modyfikować zasoby Feishu przez odwołaną tożsamość.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje polityki toolsBySender nadawcy (globalnej lub per-agent) podczas obsługi wychodzących załączników. Nadawca, któremu jawnie odmówiono narzędzi do odczytu plików, może nadal spowodować odczyt znanego lokalnego pliku i zwrócenie go przez dyrektywę mediów w odpowiedzi końcowej lub załącznik wiadomości, ujawniając zawartość lokalnych plików.

Wersje OpenClaw przed 2026.8.1 nie weryfikują wszystkich pól źródłowych w załącznikach wiadomości strukturalnych, co pozwala atakującym ukryć niezweryfikowane ścieżki hosta za dozwolonymi źródłami załączników. Atakujący mogą wykorzystać wiele pól źródłowych, aby ominąć walidację ścieżek sandboxa i spowodować, że dostarczanie przez Telegram odczyta i wyśle znane pliki hosta, które w przeciwnym razie zostałyby odrzucone.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na path traversal w funkcji tools.fs.workspaceOnly, gdzie fallback nazw plików Unicode może normalizować zwalidowane komponenty katalogów nadrzędnych. Dopuszczeni requesterzy mogą wykorzystać kanonicznie równoważne katalogi siostrzane, aby czytać pliki poza skonfigurowanym obszarem roboczym.

Pakiet npm @openclaw/slack przed wersją 2026.8.1 zawiera wadę autoryzacji w handlerze pobierania plików Slack: gdy plik nie ma metadanych udostępniania, które potwierdzają przynależność do żądanej konwersacji, kontrola autoryzacji konwersacji zawodzi w trybie otwartym. Uwierzytelniony wywołujący ograniczony do jednej konwersacji, znając lub uzyskując identyfikator pliku, może pobrać zawartość plików spoza zakresu tej konwersacji, ujawniając dane między skonfigurowanymi granicami konwersacji.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na rozszerzenie zakresu autoryzacji w zatwierdzeniach typu allow-always w transferze plików, co pozwala atakującym na ponowne wykorzystanie stałych zgód dla nieprzejrzanych ścieżek. Atakujący mogą wykorzystać interpretację metaznaków glob i ponowne użycie nazw wyświetlanych węzłów, aby uzyskać dostęp do ścieżek siostrzanych lub różnych węzłów poza pierwotnym zakresem zgody operatora.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 mógł wysyłać poświadczenia dostawców zewnętrznych do niewłaściwego punktu końcowego. W dotkniętych wersjach, gdy dostawca zewnętrzny używa API zgodnego z OpenAI, a rozpoznane metadane modelu nie zawierają konkretnego adresu URL bazowego, przypięta sesja kontynuowana po gorącym przeładowaniu konfiguracji modelu zachowuje poświadczenia tego dostawcy, podczas gdy SDK OpenAI wybiera własny domyślny punkt końcowy. Wynikowe żądanie może ujawnić poświadczenia skonfigurowanego dostawcy zewnętrznego niepowiązanemu punktowi końcowemu i zakończyć się mylącym błędem uwierzytelniania.

OpenClaw przed wersją 2026.8.2 zawiera podatność na denial of service w relayu rozszerzenia przeglądarki, która pozwala nieuwierzytelnionym źródłom sieciowym wyczerpać pojemność oczekujących uwierzytelnień. Atakujący mogą zająć wszystkie oczekujące sloty, utrzymując ciche ulepszenia WebSocket, uniemożliwiając sparowanym rozszerzeniom ukończenie uwierzytelniania Browser Relay Authentication v2.

Integracja Discord OpenClaw (pakiet npm @openclaw/discord) przed wersją 2026.9.3 mogła utracić politykę mediów związaną z nadawcą w akcjach przesyłania emoji i naklejek przed załadowaniem lokalnego pliku. Nadawca uprawniony do wywołania tych akcji mógł spowodować, że OpenClaw odczyta ścieżkę hosta, którą skonfigurowane katalogi mediów tego samego nadawcy w przeciwnym razie odrzuciłyby, umieszczając bajty z pliku lokalnego spoza polityki w wychodzącym przesyłaniu emoji lub naklejki.

Wtyczka diagnostyczna OpenClaw Prometheus (@openclaw/diagnostics-prometheus) przed wersją 2026.9.3 nie egzekwuje zakresu operator.read na swoim uwierzytelnionym punkcie końcowym metryk. W środowiskach korzystających z trybu uwierzytelniania Gateway z tożsamością, takim jak trusted-proxy, wywołujący, którego efektywna rola nie ma zakresu odczytu, może pobrać dokument diagnostyczny, nawet jeśli zwykłe metody odczytu odrzucają tę samą tożsamość, ujawniając metryki operacyjne uwierzytelnionemu profilowi celowo ograniczonemu poniżej dostępu do odczytu.

Cotonti do wersji 1.0.0 zawiera podatność na cross-site request forgery (CSRF) w menedżerze rozszerzeń, która pozwala atakującym na wykonywanie akcji zmieniających stan bez walidacji tokenu anty-CSRF. Atakujący mogą tworzyć linki lub osadzać obrazy, aby zmusić administratorów do instalowania, aktualizowania, wstrzymywania lub wznowienia rozszerzeń, nakłaniając ich do odwiedzenia złośliwej strony podczas zalogowania.

Cotonti do wersji 1.0.0 zawiera podatność na otwarte przekierowanie w pliku message.php, która dekoduje parametr redirect za pomocą base64 bez walidacji domeny. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z zakodowanymi zewnętrznymi adresami URL, aby przekierować użytkowników na dowolne strony za pomocą meta refresh, co może być wykorzystane do ataków phishingowych.

Cotonti do wersji 1.0.0 zawiera podatność na odbite XSS w pliku message.php, gdzie parametr lng nie jest odpowiednio escapowany przed wyjściem w oknie potwierdzenia. Nieuwierzytelnieni atakujący mogą tworzyć złośliwe linki z payloadami skryptów w parametrze lng, aby wykonać dowolny JavaScript w sesji przeglądarki ofiary.