OpenClaw до 2026.3.24 содержит отсутствующие уязвимости авторизации в обработчиках команд чата /send и /allowlist. Команда /send позволяет отправителям, не имеющим авторизации команды владельца, изменять параметры политики доставки сеанса только для владельца, а команды изменения /allowlist не обеспечивают соблюдение области действияoperator.admin. Злоумышленники с областью действияoperator.write могут вызвать /send on|off|inherit для постоянного изменения sendPolicy текущего сеанса и выполнить команды /allowlist add для изменения поддерживаемых конфигурацией записейallowFrom и записей списка разрешений для парного хранилища без надлежащего разрешения администратора.
Показать оригинальное описание (EN)
OpenClaw before 2026.3.24 contains missing authorization vulnerabilities in the /send and /allowlist chat command handlers. The /send command allows non-owner command-authorized senders to change owner-only session delivery policy settings, and the /allowlist mutating commands fail to enforce operator.admin scope. Attackers with operator.write scope can invoke /send on|off|inherit to persistently mutate the current session's sendPolicy, and execute /allowlist add commands to modify config-backed allowFrom entries and pairing-store allowlist entries without proper admin authorization.
Характеристики атаки
Последствия
Строка CVSS v4.0