Версии OpenClaw до 2026.2.23 содержат уязвимость обхода пути в экспериментальном инструменте apply_patch, которая позволяет злоумышленникам с доступом к песочнице изменять файлы за пределами каталога рабочей области, используя непоследовательное применение проверок только для рабочей области на смонтированных путях. Злоумышленники могут использовать операции apply_patch для монтирования с возможностью записи за пределами корня рабочей области для доступа и изменения произвольных файлов в системе.
Показать оригинальное описание (EN)
OpenClaw versions prior to 2026.2.23 contain a path traversal vulnerability in the experimental apply_patch tool that allows attackers with sandbox access to modify files outside the workspace directory by exploiting inconsistent enforcement of workspace-only checks on mounted paths. Attackers can use apply_patch operations on writable mounts outside the workspace root to access and modify arbitrary files on the system.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Openclaw Openclaw
cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:*
|
— |
2026.2.23
|