OpenClaw до версии 2026.3.22 не обеспечивает соблюдение области действия оператора.admin при изменении внутренних команд чата ACP, что позволяет вносить несанкционированные изменения. Злоумышленники без прав администратора могут выполнять изменяющие действия на уровне управления, напрямую вызывая затронутые команды ACP для обхода шлюзов авторизации.
Показать оригинальное описание (EN)
OpenClaw before 2026.3.22 fails to enforce operator.admin scope on mutating internal ACP chat commands, allowing unauthorized modifications. Attackers without admin privileges can execute mutating control-plane actions by directly invoking affected ACP commands to bypass authorization gates.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Высокое
Полная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/openclaw/openclaw/commit/229426a257e49694a59fa4e3895861d02a4…
disclosure@vulncheck.com
https://github.com/openclaw/openclaw/commit/630f1479c44f78484dfa21bb407cbe6f171…
disclosure@vulncheck.com
https://github.com/openclaw/openclaw/security/advisories/GHSA-3w6x-gv34-mqpf
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/openclaw-missing-authorization-enforcement…
disclosure@vulncheck.com