CVE-2026-53836
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.5.12 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń w obsłudze zakodowanych poleceń PowerShell. Atakujący mogą wykorzystać skrócone aliasy flag, które nie są rozpoznawane przez parser listy dozwolonych poleceń, aby wykonać dowolne treści PowerShell.
Ocena ryzyka
Luka ta pozwala zdalnym, uwierzytelnionym operatorom na obejście kontroli listy dozwolonych poleceń, co może prowadzić do wykonania złośliwego kodu w systemie. Organizacje mogą być narażone na nieautoryzowane działania i utratę danych.
Rekomendacja
Zaleca się aktualizację OpenClaw do wersji 2026.5.12 lub nowszej, aby usunąć tę lukę. Dodatkowo, warto przeprowadzić audyt zabezpieczeń, aby zminimalizować ryzyko związane z nieautoryzowanym dostępem.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.5.12 contains an allowlist bypass vulnerability in PowerShell encoded-command handling that allows attackers to execute encoded commands using abbreviated flag aliases not recognized by the allowlist parser. Remote authenticated operators can bypass execution allowlist checks by using unrecognized encoded-command alias forms to execute arbitrary PowerShell content.