CVE-2026-53834
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Podatność w OpenClaw przed wersją 2026.4.27 umożliwia ominięcie autoryzacji w komendach slash QQBot przed ich wysłaniem. Uwierzytelnieni nadawcy mogą pominąć sprawdzanie polityki allowFrom, co pozwala na wywołanie komend przed zastosowaniem skonfigurowanych reguł kontroli dostępu.
Ocena ryzyka
Ryzyko polega na tym, że zablokowani nadawcy mogą wykonywać komendy slash, co może prowadzić do nieautoryzowanych działań w zależności od konfiguracji operatora.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenClaw do wersji 2026.4.27 lub nowszej, która zawiera poprawkę usuwającą podatność.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.4.27 contains an authorization bypass vulnerability in QQBot pre-dispatch slash commands that allows authenticated senders to skip allowFrom policy checks. Attackers can invoke slash commands before configured access control policies are applied, potentially triggering command handling from blocked senders depending on operator configuration.