CVE-2026-41366
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.3.31 zawiera podatność na samodzielne umieszczanie na białej liście korzeni lokalnych w funkcji appendLocalMediaParentRoots, co umożliwia odczyt dowolnych plików hosta inicjowany przez model. Atakujący mogą wykorzystać nieprawidłową walidację katalogu nadrzędnego multimediów do eksfiltracji danych uwierzytelniających i dostępu do wrażliwych plików.
Ocena ryzyka
Atakujący może odczytać poufne pliki, w tym dane uwierzytelniające, co może prowadzić do dalszej kompromitacji systemu.
Rekomendacja
Zaktualizuj OpenClaw do wersji 2026.3.31 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.31 contains a local roots self-whitelisting vulnerability in appendLocalMediaParentRoots that allows model-initiated arbitrary host file read. Attackers can exploit improper media parent directory validation to exfiltrate credentials and access sensitive files.