Версии OpenClaw до 2026.5.18 содержат уязвимость обхода авторизации при отправке команд навыков, которая позволяет вызывающим абонентам с низким уровнем доверия выполнять или сохранять действия, выходящие за рамки предполагаемой авторизации. Злоумышленники могут обойти ограничения политики инструмента через настроенные пути ввода для выполнения несанкционированных действий, когда затронутая функция включена и доступна.
Показать оригинальное описание (EN)
OpenClaw versions before 2026.5.18 contain an authorization bypass vulnerability in skill command dispatch that allows lower-trust callers to execute or persist actions beyond their intended authorization. Attackers can bypass tool policy restrictions through configured input paths to perform unauthorized actions when the affected feature is enabled and reachable.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Openclaw Openclaw
cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:*
|
— |
2026.5.18
|