Podatności OpenClaw

OpenClaw przed wersją 2026.9.4 zawiera podatność na nieprawidłową autoryzację w metodzie mcp.app.view, która pozwala operatorom z zakresem tylko do odczytu na wykonywanie narzędzi MCP App wymagających zakresu operator.write. Atakujący z tokenami operator.read mogą uzyskać samodzielny bilet z mcp.app.view i wykorzystać go w punkcie końcowym widoku aplikacji MCP do wywoływania narzędzi zmieniających stan bez odpowiednich kontroli autoryzacji.

OpenClaw przed wersją 2026.9.5 zawiera podatność na nieprawidłową autoryzację w lokalnej liście dozwolonych mediów bramy, która łamie izolację systemu plików między sesjami w piaskownicy. Sesje w piaskownicy lub niezaufane treści mogą spowodować, że brama będzie czytać pliki z sesji sąsiednich lub współdzielonych katalogów roboczych przez funkcje potoku mediów, które nie ograniczają odczytów do aktywnej sesji.

OpenClaw przed wersją 2026.4.23 zawiera lukę w kontroli dostępu w operacjach config.apply i config.patch narzędzia bramy, która pozwala na wprowadzenie niebezpiecznych zmian w konfiguracji przez złośliwe modele, omijając niekompletną ochronę denylisty.

OpenClaw w wersjach przed 2026.4.23 zawiera podatność na wykonanie dowolnego kodu w wtyczce resolvera ustawień, która ładuje setup-api.js z process.cwd() podczas rozwiązywania metadanych dostawcy. Atakujący mogą wykonać dowolny kod JavaScript pod bieżącym kontem użytkownika, umieszczając złośliwy plik extensions/<plugin>/setup-api.js w repozytorium.

OpenClaw przed wersją 2026.4.20 zawiera lukę w zabezpieczeniach, która pozwala na obejście ochrony w punktach końcowych config.patch i config.apply. Luka ta nie chroni ustawień zaufanych przez operatora, takich jak polityka sandbox, włączanie wtyczek, uwierzytelnianie bramy/TLS oraz konfiguracja serwera MCP.

OpenClaw przed wersją 2026.4.20 zawiera podatność na niewłaściwą walidację zmiennych środowiskowych w konfiguracji serwera MCP stdio, co pozwala atakującym na wykonanie dowolnego kodu. Złośliwe konfiguracje robocze mogą przekazywać niebezpieczne zmienne startowe do procesów serwera MCP.

OpenClaw przed wersją 2026.4.22 wykorzystuje fałszowalne tokeny wydawane przez serwer w nagłówkach żądań do określenia kontekstu właściciela pętli zwrotnej MCP. Klienci pętli zwrotnej, którzy nie są właścicielami, mogą podszywać się pod właściciela, aby ominąć operacje zastrzeżone dla właściciela.

OpenClaw przed wersją 2026.4.22 zawiera podatność na analizę listy dozwolonych poleceń, która pozwala na ukrycie ekspansji powłoki w niecytowanych ciałach heredoc. Atakujący mogą obejść walidację listy dozwolonych poleceń, wprowadzając tokeny ekspansji powłoki w ciałach heredoc, co pozwala na wykonanie niezatwierdzonych poleceń w czasie wykonywania.

OpenClaw przed wersją 2026.4.20 nieprawidłowo rezerwuje przestrzeń nazw środowiska kontrolnego OPENCLAW_ w plikach dotenv, co pozwala atakującym na nadpisanie krytycznych zmiennych runtime. Złośliwe przestrzenie robocze mogą ustawiać zmienne, takie jak OPENCLAW_GIT_DIR, aby manipulować zaufanym zachowaniem runtime OpenClaw podczas aktualizacji źródła lub instalacji.

OpenClaw przed wersją 2026.4.15 zawiera lukę w autoryzacji, która pozwala na obejście kontroli poleceń w pokojach Matrix. Atakujący z identyfikatorami nadawców sparowanymi z DM mogą wykonywać polecenia kontrolne w pokojach bez konieczności bycia na liście dozwolonych użytkowników.

OpenClaw przed wersją 2026.4.15 przechwytywał skonfigurowane uwierzytelnienie bearer-auth podczas uruchamiania, co pozwalało na utrzymanie ważności unieważnionych tokenów po rotacji SecretRef. Handlerzy HTTP i WebSocket w bramce nie przeprowadzają ponownej weryfikacji uwierzytelnienia dla każdego żądania.

OpenClaw w wersjach przed 2026.4.10 zawiera lukę w polityce środowiskowej, która pozwala na niewystarczające zablokowanie zmiennych środowiskowych. Atakujący mogą manipulować tymi zmiennymi, co wpływa na zachowanie wykonywania kodu oraz łączność sieciową.

OpenClaw w wersjach przed 2026.4.10 zawiera lukę w zabezpieczeniach związaną z niekompletną ochroną nawigacji, która pozwala atakującym na wywołanie nawigacji bez pełnego egzekwowania polityki SSRF. Interakcje w stylu naciśnij/napisz w przeglądarce mogą omijać kontrole bezpieczeństwa po akcji, co prowadzi do nieautoryzowanej nawigacji.

OpenClaw w wersjach przed 2026.4.5 zawiera podatność typu server-side request forgery (SSRF) w punkcie końcowym WebSocket CDP /json/version. Umożliwia to atakującym przekierowywanie połączeń do nieznanych, drugorzędnych celów.

OpenClaw przed wersją 2026.4.10 zawiera lukę w zabezpieczeniach, która pozwala na obejście polityki ochrony przed fałszywymi żądaniami serwera w istniejących sesjach. Atakujący mogą ominąć zabezpieczenia SSRF, aby wchodzić w interakcje z nieautoryzowanymi celami.

OpenClaw w wersjach przed 2026.4.10 zawiera podatność na obejście zaufania wtyczek, co pozwala na rozwiązywanie cieni wtyczek roboczych przed wtyczkami kanałów. Atakujący mogą wykorzystać tę lukę, tworząc złośliwe wtyczki robocze, które omijają zamierzone bramy zaufania podczas ładowania wtyczek.

OpenClaw w wersjach przed 2026.4.9 zawiera podatność na obejście uwierzytelniania, która pozwala na automatyczne włączanie nieufnych wtyczek roboczych podczas nieinteraktywnego wprowadzania, gdy wybory uwierzytelniania dostawcy są ukryte. Atakujący mogą wykorzystać tę lukę, tworząc złośliwe wtyczki robocze, które są automatycznie wybierane i włączane podczas konfiguracji uwierzytelniania bez wyraźnej zgody użytkownika.

OpenClaw przed wersją 2026.4.10 zawiera podatność na odczyt dowolnych plików w tagach mediów QQBot, co pozwala atakującym na odwoływanie się do lokalnych ścieżek hosta poza zamierzonym zakresem przechowywania mediów.

Wersje OpenClaw 2026.4.7 przed 2026.4.10 nie normalizują parametrów obrazów okładek wydarzeń Discord w przetwarzaniu mediów w piaskownicy. Atakujący mogą obejść normalizację mediów, aby wstrzyknąć lokalne odniesienia do mediów w ścieżkach akcji kanału oczekujących na znormalizowane media.

OpenClaw w wersjach przed 2026.4.9 zawiera podatność na wstrzykiwanie zmiennych środowiskowych, która pozwala złośliwym plikom .env w workspace na ustawianie zmiennych kontrolujących działanie aplikacji. Atakujący mogą wstrzykiwać zmienne wpływające na źródła aktualizacji, adresy URL bram, rozwiązywanie ClawHub oraz ścieżki do plików wykonywalnych przeglądarki.

Wersje OpenClaw 2026.2.23 przed 2026.4.12 zawierają osłabioną podatność na wiązanie zatwierdzania wykonania w busybox i wykonaniu apletu toybox, co pozwala atakującym na ukrycie, który aplet faktycznie zostanie uruchomiony.

OpenClaw w wersjach przed 2026.4.14 zawiera podatność typu server-side request forgery (SSRF) w polityce SSRF przeglądarki, która domyślnie umożliwia nawigację w sieci prywatnej. Atakujący mogą wykorzystać tę błędną konfigurację do uzyskania dostępu do wewnętrznych usług lub punktów końcowych metadanych za pomocą żądań sterowanych przez przeglądarkę.

OpenClaw w wersjach przed 2026.4.12 zawiera podatność typu server-side request forgery (SSRF) w obsłudze URL-i mediów odpowiedzi QQBot, co pozwala atakującym na pobieranie dowolnych treści.

OpenClaw przed wersją 2026.4.10 zawiera lukę w zabezpieczeniach, która pozwala na obejście polityki ochrony przed fałszywymi żądaniami serwera (SSRF) w akcjach związanych z zakładkami przeglądarki. Atakujący mogą wykorzystać punkt końcowy /tabs/action do nieautoryzowanych operacji na zakładkach.

Wersje OpenClaw 2026.4.9 i wcześniejsze przed 2026.4.10 zawierają lukę umożliwiającą obejście polityki nadawcy w pomocniku odczytu załączników multimedialnych. Atakujący mogą uzyskać dostęp do lokalnych plików, omijając ograniczenia autoryzacji nadawcy i grupy.

Wersje OpenClaw 2026.4.9 i wcześniejsze przed 2026.4.10 zawierają podatność na odmowę usługi w ścieżce WebSocket dla połączeń głosowych, która akceptuje zbyt duże ramki bez odpowiedniej walidacji.

OpenClaw przed wersją 2026.4.14 zawiera lukę w kontroli dostępu w funkcjach zrzutu ekranu, zrzutu przeglądarki i trasach kart, które nie walidują poprawnie docelowego adresu przeglądarki po nawigacji. Użytkownicy z autoryzacją mogą obejść ograniczenia SSRF, eksponując wewnętrzne lub zabronione treści stron.

Wersje OpenClaw od 2026.2.22 do przed 2026.4.12 zawierają lukę w wykrywaniu powłok, która umożliwia atakującym wstrzykiwanie przypisań zmiennych środowiskowych na poziomie argv. Atakujący mogą obejść wstępne sprawdzanie exec, manipulując zmiennymi powłoki o wysokim ryzyku, takimi jak SHELLOPTS i PS4.

Wersje OpenClaw 2026.4.5 przed 2026.4.10 zawierają podatność na ucieczkę z piaskownicy, która pozwala na nadpisanie routingu exec przez określenie host=node. Atakujący mogą obejść granice piaskownicy i kierować wykonanie do zdalnych węzłów zamiast do zamierzonych ścieżek piaskownicy.

OpenClaw przed wersją 2026.4.8 zawiera podatność na eskalację uprawnień, która pozwala wcześniej sparowanym węzłom na ponowne połączenie z poleceniami wymagającymi uprawnień bez potrzeby posiadania zakresu operator.admin.

OpenClaw przed wersją 2026.4.8 zawiera podatność na eskalację uprawnień w mechanizmie uwierzytelniania HTTP wtyczki bramy, która podnosi żądania operator.read do uprawnień operator.write. Atakujący mogą wykorzystać to, wysyłając żądania z zakresem odczytu przez trasę uwierzytelniania bramy, aby uzyskać nieautoryzowany dostęp do operacji zapisu.

OpenClaw w wersjach przed 2026.4.2 zawiera podatność na nieautoryzowane usuwanie katalogów w trybie mirror, co pozwala atakującym na usuwanie zdalnych katalogów poprzez manipulację wartościami konfiguracyjnymi remoteWorkspaceDir i remoteAgentWorkspaceDir.

OpenClaw przed wersją 2026.3.28 zawiera podatność na zatwierdzanie wykonania w pliku exec-approvals-allowlist.ts, która pozwala na trwałe zaufanie do nośników wykonywalnych zamiast do docelowych. Atakujący mogą wykorzystać trasowanie nośników wykonywalnych przez opakowania dispatch, aby ustanowić szersze wpisy na liście dozwolonych niż zamierzono.

OpenClaw przed wersją 2026.3.28 zawiera podatność na eskalację uprawnień, która pozwala uwierzytelnionym operatorom z uprawnieniami do zapisu na dostęp do trwałej konfiguracji Talk Voice, przeznaczonej tylko dla administratorów. Atakujący z uprawnieniami operator.write mogą wykorzystać punkt końcowy chat.send do modyfikacji wrażliwych ustawień konfiguracji głosowej.

OpenClaw przed wersją 2026.3.31 zawiera podatność na eskalację uprawnień, która pozwala sparowanym węzłom z rolą 'node' na wysyłanie żądań agenta node.event z nieograniczonym dostępem do narzędzi po stronie bramy.

OpenClaw w wersjach przed 2026.3.28 zawiera podatność na wykonanie dowolnego kodu w trybie lustrzanym, która przekształca nieufne pliki sandboxowe w haki robocze. Atakujący z dostępem do trybu lustrzanego mogą wykonać dowolny kod na hoście podczas uruchamiania bramy, wykorzystując włączone haki robocze.

OpenClaw przed wersją 2026.3.22 zawiera lukę w kontroli dostępu w funkcji allowProfiles, która pozwala atakującym na obejście ograniczeń profilu poprzez trwałą mutację profilu i wybór profilu w czasie rzeczywistym.

Podatność mutacji stanu w OpenClaw przed 2026.5.27 w logice ponownego łączenia sparowanych węzłów. Atakujący może wykorzystać logikę ponownego łączenia, aby przywrócić lub przedstawić szerszy zakres uprawnień węzła niż zamierzony, potencjalnie omijając ograniczenia zatwierdzania.

OpenClaw w wersjach przed 2026.4.22 zawiera warunkową podatność wyścigu czasowego w operacjach zapisu systemu plików OpenShell, co pozwala atakującym na przekierowanie zapisów poza zamierzony katalog montowania. Atakujący mogą wykorzystać zamiany symlinków podczas operacji na systemie plików, aby obejść ograniczenia sandboxa i zapisywać pliki poza lokalnym katalogiem montowania.

OpenClaw przed wersją 2026.4.15 zawiera lukę w autoryzacji w walidacji webhooków Feishu i akcji kart, która pozwala na nieautoryzowane żądania docierające do dyspozycji poleceń. Brak konfiguracji encryptKey oraz puste tokeny zwrotne powodują, że system nie odrzuca żądań, co umożliwia atakującym ominięcie weryfikacji podpisu i ochrony przed powtórnym użyciem w celu wykonania dowolnych poleceń.

OpenClaw przed wersją 2026.4.10 zawiera podatność na niewłaściwe powiązanie sieciowe w relacji CDP przeglądarki sandbox, co naraża protokół Chrome DevTools na adresie 0.0.0.0. Atakujący mogą uzyskać dostęp do protokołu DevTools poza zamierzonymi granicami lokalnego sandboxu, wykorzystując zbyt szeroką konfigurację powiązania.

Wersje OpenClaw 2026.3.31 przed 2026.4.10 zawierają podatność na eskalację uprawnień, w której detekcja obniżenia właściciela heartbeat pomija lokalne zdarzenia zakończenia asynchronicznego wykonania w tle. Atakujący mogą wykorzystać tę lukę, dostarczając nieufne treści zakończenia, co pozwala na uruchomienie w bardziej uprzywilejowanym kontekście niż zamierzono.

Wersje OpenClaw 2026.2.21 przed 2026.4.10 zawierają lukę w autoryzacji w trasie pomocniczej noVNC, która ujawnia dane uwierzytelniające sesji przeglądarki. Atakujący mogą uzyskać dostęp do tej trasy bez autoryzacji mostka, co pozwala na nieautoryzowany dostęp do interaktywnej sesji przeglądarki.

Wersje OpenClaw 2026.4.7 przed 2026.4.14 zawierają podatność na eskalację uprawnień, w której logika obniżania uprawnień właściciela pomija zdarzenia webhook wake zawierające nieufne treści. Atakujący mogą wykorzystać tę lukę, wysyłając nieufne zdarzenia webhook wake, aby zachować kontekst wykonania podobny do właściciela, gdy powinno nastąpić obniżenie uprawnień.

OpenClaw w wersjach przed 2026.4.10 zawiera podatność na niewłaściwą walidację danych wejściowych, która pozwala na dodawanie zewnętrznych metadanych hooków jako zaufanych zdarzeń systemowych. Atakujący mogą dostarczyć złośliwe nazwy hooków, co umożliwia eskalację niezaufanych danych do kontekstu agenta o wyższym poziomie zaufania.

OpenClaw przed wersją 2026.3.22 zawiera podatność na eskalację uprawnień, gdzie kody konfiguracyjne bootstrap nie są przypisane do zamierzonych ról i zakresów urządzeń podczas parowania. Atakujący mogą wykorzystać to podczas parowania urządzenia w pierwszym użyciu, aby zwiększyć swoje uprawnienia poza zamierzony zakres.

OpenClaw przed wersją 2026.3.28 zawiera podatność na eskalację uprawnień w ścieżce komendy /pair approve. Brakuje w niej przekazywania zakresów wywołującego do głównego sprawdzenia zatwierdzenia. Osoba z uprawnieniami do parowania, ale bez uprawnień administracyjnych, może zatwierdzić oczekujące żądania urządzeń, które żądają szerszych zakresów, w tym dostępu administracyjnego, wykorzystując brak walidacji zakresów w plikach extensions/device-pair/index.ts i src/infra/device-pairing.ts.

Nexting pinclaw OpenClaw channel plugin do wersji 0.3.0 zawiera podatność braku uwierzytelnienia w src/core/http-router.ts, która pomija sprawdzenie authToken na POST /pinclaw/send. Nieuwierzytelnieni atakujący, którzy dotrą do portu 18790 (domyślnie nasłuchującego na wszystkich interfejsach), mogą wstrzykiwać ślepe prompty do głównej sesji agenta OpenClaw użytkownika jako instrukcje użytkownika.

OpenClaw w wersjach 2026.5.1 do 2026.7.0 nie stosuje skonfigurowanej ścieżki zatwierdzania wykonania do poleceń węzła Google Meet. Polecenie googlemeet.chrome akceptuje tablice poleceń audio dostarczone przez wywołującego i wykonuje je na sparowanym węźle bez normalnego przepływu zatwierdzania system.run. W środowiskach z włączoną wtyczką Google Meet, sparowanym węzłem Chrome i dozwolonym poleceniem googlemeet.chrome, agent z dostępem do narzędzi może wykonać wybrane przez atakującego procesy na sparowanym węźle, wpływając na pliki, poświadczenia, profile przeglądarki i dostępność. Problem naprawiono w wersji 2026.7.1; jako obejście można usunąć googlemeet.chrome z dozwolonych poleceń węzła lub wyłączyć wtyczkę Google Meet.

OpenClaw (pakiet npm openclaw) przed wersją 2026.7.1 nieprawidłowo wiąże reakcje zatwierdzania Signal. W dotkniętych wersjach reakcja mająca rozwiązać strukturalne żądanie zatwierdzenia może zamiast tego zostać przypisana do zwykłej wiadomości wychodzącej, gdy w tej samej konwersacji występują niezwiązane wiadomości wychodzące i oczekujące zatwierdzenie. W rezultacie reakcja osoby zatwierdzającej na niezwiązany tekst może zostać zinterpretowana jako zatwierdzenie lub odrzucenie oczekującej akcji hosta; praktyczny wpływ zależy od oczekującego żądania, czasu konwersacji i działań dostępnych dla procesu OpenClaw. Problem nie zmienia uprawnień poprawnie zidentyfikowanych osób zatwierdzających. Naprawiono w wersji 2026.7.1.