Версии OpenClaw до 2026.2.14 содержат уязвимость повышения привилегий в обработчике косой черты Slack, которая неправильно авторизует любого прямого отправителя сообщения, когда dmPolicy настроен на открытие (необходимо настроить). Злоумышленники могут выполнять привилегированные команды с косой чертой через прямое сообщение, чтобы обойти ограничения белого списка и группы доступа.
Показать оригинальное описание (EN)
OpenClaw versions prior to 2026.2.14 contain a privilege escalation vulnerability in the Slack slash-command handler that incorrectly authorizes any direct message sender when dmPolicy is set to open (must be configured). Attackers can execute privileged slash commands via direct message to bypass allowlist and access-group restrictions.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Ссылки 3
https://github.com/openclaw/openclaw/commit/f19eabee54c49e9a2e264b4965edf28a2f9…
disclosure@vulncheck.com
https://github.com/openclaw/openclaw/security/advisories/GHSA-v773-r54f-q32w
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/openclaw-privilege-escalation-in-slack-sla…
disclosure@vulncheck.com