Podatności OpenClaw

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.7.1 jest podatny na wyścig typu time-of-check time-of-use w operacjach mutacji lokalnego systemu plików OpenShell mirror. Operacje remove, mkdir i rename mogą działać na innym celu systemu plików po zakończeniu przez OpenClaw kontroli bezpieczeństwa ścieżki w sandboxie, jeśli ścieżka zostanie zmieniona jednocześnie. Atakujący, który wygra wyścig, może spowodować, że operacja w sandboxie usunie, utworzy lub zmieni nazwę ścieżki hosta poza zamierzonym katalogiem głównym mirror z uprawnieniami użytkownika procesu OpenClaw. Nie wymaga to przyznania operatorowi dostępu do systemu plików hosta poza sandboxem. Problem naprawiono w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo autoryzuje niebędących właścicielami użytkowników wykonujących zmiany konfiguracji MCP przez polecenia /mcp set i /mcp unset. Atakujący mogą utrwalić dowolne polecenia stdio MCP, które wykonują się z uprawnieniami procesu OpenClaw podczas ładowania konfiguracji, naruszając poufność, integralność i dostępność hosta.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w poleceniu eksportu diagnostyki, która pozwala nadawcom niebędącym właścicielami na dostęp do pakietów diagnostycznych hosta przeznaczonych tylko dla właścicieli. Atakujący mogą żądać i otrzymywać szczegóły diagnostyczne dotyczące hosta, konfiguracji, środowiska uruchomieniowego i połączonych usług.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w punkcie końcowym /export-trajectory, która pozwala nadawcom niebędącym właścicielami na żądanie i otrzymywanie pakietów trajektorii przeznaczonych tylko dla właścicieli. Atakujący mogą uzyskać dostęp do promptów, wiadomości modeli, schematów narzędzi, zdarzeń środowiska uruchomieniowego i metadanych ścieżek lokalnych z dotkniętych sesji.

OpenClaw (pakiet npm `openclaw`) przed wersją 2026.7.1 nie egzekwuje udokumentowanego wymogu właściciela dla trwałych zmian polityki `/activation` w kanałach grupowych. Autoryzowany nadawca niebędący właścicielem może zmienić, czy agent wymaga aktywacji przez wzmiankę, co powoduje, że agent odpowiada szerzej w grupie (narażając swoje odpowiedzi na dodatkowy ruch grupowy) lub tłumi oczekiwane zachowanie aktywacji, dopóki właściciel nie przywróci ustawień.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach >= 2026.4.10 i < 2026.7.1 trwałe mutacje snu pamięci pomijają sprawdzenia uprawnień właściciela. Autoryzowany, ale niebędący właścicielem nadawca zewnętrznego kanału może wydać trwałe polecenia '/dreaming on' i '/dreaming off', aby włączyć lub wyłączyć zachowanie snu Memory Core bramy, wyłączając przetwarzanie pamięci w tle lub ponownie włączając trwałe promowanie pamięci, gdy właściciel oczekiwał, że pozostanie wyłączone; praktyczny wpływ na poufność, integralność i dostępność zależy od przechowywanego materiału konwersacji i późniejszego użycia pamięci.

OpenClaw to brama agentowa dystrybuowana przez npm. W wersjach przed 2026.7.1 globalne przełączniki Active Memory mogły pomijać sprawdzenia właściciela. Autoryzowany nadawca zewnętrznego kanału niebędący właścicielem mógł trwale włączyć lub wyłączyć Active Memory dla bramy, wyłączając przywoływanie pamięci dla przyszłych sesji lub ponownie włączając globalne przywoływanie, gdy właściciel oczekiwał, że pozostanie wyłączone. Problem dotyczy tylko trwałych globalnych mutacji włącz/wyłącz; kontrola na poziomie sesji i status tylko do odczytu pozostają zgodne z istniejącą polityką poleceń.

OpenClaw przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w poleceniu /voice set, która pozwala nadawcom zewnętrznych kanałów niebędącym właścicielami na trwałe zapisywanie konfiguracji głosu bramy. Atakujący z dostępem do poleceń mogą zmienić głos używany w odpowiedziach Talk dla skonfigurowanego dostawcy, wpływając na integralność konfiguracji bez ujawniania poświadczeń ani przyznawania dodatkowych możliwości hosta.

OpenClaw w wersjach przed 2026.7.1 zawiera podatność na obejście sandboxa w narzędziu przeglądarki, która pozwala sesjom w sandboxie na dostęp do akcji przeglądarki sparowanego węzła mimo konfiguracji allowHostControl=false. Atakujący z kontrolą nad danymi wejściowymi agenta w sandboxie mogą wybrać sparowany węzeł i wykonywać operacje przeglądarki hosta, przeglądając lub manipulując połączonym profilem przeglądarki i jego uwierzytelnionym stanem.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu uprawnień administratora dla kontroli przeglądarki, gdy dostęp następuje przez metodę node.invoke, mimo że bezpośredni dostęp browser.request wymaga uprawnień administratora. W wdrożeniach Gateway respektujących tożsamość wywołującego, operator z uprawnieniami zapisu może przeglądać strony, nawigować po kartach lub wchodzić w interakcję z aplikacjami widocznymi w przeglądarce bez wymaganych uprawnień administratora. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo weryfikuje autoryzację właściciela w poleceniu instalacji Codex computer-use. Nadawcy kanału niebędący właścicielami mogą instalować dowolne wtyczki i uruchamiać procesy MCP z uprawnieniami użytkownika OpenClaw, wpływając na poufność, integralność i dostępność hosta. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu autoryzacji wyłącznie dla właściciela w monitach uprawnień Claude Code dostarczanych przez most kanału MCP. Autoryzowany nadawca kanału niebędący właścicielem, posiadający dostęp do poleceń kanału, może zatwierdzić lub odrzucić oczekujące żądanie uprawnień przeznaczone dla właściciela, powodując wykonanie żądanej akcji bez zgody właściciela. Luka została naprawiona w wersji 2026.7.1.

OpenClaw to środowisko uruchomieniowe agenta dystrybuowane przez npm. W wersjach >= 2026.2.26 i < 2026.7.1 analiza poleceń PowerShell na hostach Windows działających w trybie listy dozwolonych exec mogła zatwierdzić dokładny plik wykonywalny rozwiązany z PATH, ale następnie wykonać plik wykonywalny o tej samej nazwie znajdujący się w katalogu roboczym. Jeśli treść o niższym zaufaniu może umieścić plik wykonywalny z zatwierdzoną nazwą bazową w katalogu roboczym agenta i skierować zatwierdzone polecenie PowerShell używające gołej nazwy pliku wykonywalnego, OpenClaw może uruchomić plik z katalogu roboczego zamiast ścieżki z listy dozwolonych, wykonując dowolny kod z uprawnieniami bramy lub użytkownika hosta.

OpenClaw Discord przed wersją 2026.7.1 zawiera podatność na obejście autoryzacji w akcjach odczytu metadanych gildii, która pozwala nadawcom o niższym zaufaniu na pobieranie informacji wykluczonych przez listy dozwolonych kanałów. Atakujący mogą ominąć skonfigurowaną politykę docelową odczytu Discord, aby uzyskać dostęp do metadanych gildii z serwerów lub kanałów spoza listy dozwolonych operatora.

Wtyczki kanałów OpenClaw (@openclaw/msteams, @openclaw/feishu, @openclaw/matrix i @openclaw/googlechat) przed wersją 2026.8.1 nie egzekwują skonfigurowanej listy dozwolonych odczytu kanałów dla jawnych celów odczytu dostarczanych przez wywołującego w akcjach odczytu wiadomości, reakcji, pinezek, członków i powiązanych metadanych. Nadawca o niższym zaufaniu lub sterowany agent z dostępem do akcji odczytu kanału może zatem pobierać treści lub metadane z kanałów lub pokoi wykluczonych przez politykę odczytu operatora; praktyczny wpływ zależy od uprawnień posiadanych przez podłączone konto bota.

OpenClaw dla iOS przed wersją 2026.8.11 przechowuje poświadczenia Gateway jako jawny tekst JSON w App Group UserDefaults zamiast w pęku kluczy urządzenia. Atakujący z dostępem do niezaszyfrowanych kopii zapasowych lub wyodrębnionych kontenerów App Group mogą odzyskać ważne tokeny i hasła Gateway, aby uwierzytelnić się z uprawnieniami operatora.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo obsługuje wielkość liter w narzędziu cron widocznym dla modelu: ładunek o mieszanej wielkości liter może ominąć zabezpieczenie przed wykonaniem poleceń powłoki i później znormalizować się do zadania polecenia. Aktor mogący sterować agentem z dostępem do narzędzi może utworzyć trwałe zadanie cron wykonujące wybrane przez atakującego polecenia z uprawnieniami użytkownika procesu OpenClaw. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo ufa pochodzeniu żądającego w message.action. W wdrożeniach Gateway respektujących tożsamość, operator z uprawnieniami zapisu może podać identyfikator innego nadawcy w kontrolach autoryzacji kanału i wywołać akcję kanału pod podszywaną tożsamością, uzyskując dostęp do operacji, które adapter kanału odmówiłby prawdziwemu wywołującemu. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nie ogranicza narzędzi infrastrukturalnych przeznaczonych wyłącznie dla właściciela, udostępnianych przez endpoint chat.send. W wdrożeniach Gateway z trybami uwierzytelniania respektującymi tożsamość, operator niebędący właścicielem z uprawnieniami zapisu może rozpocząć turę czatu, której inwentarz narzędzi obejmuje narzędzia gateway i cron, powodując wywołanie przez agenta operacji konfiguracyjnych lub harmonogramowania zastrzeżonych dla właściciela, w tym trwałych zmian stanu. Luka została naprawiona w wersji 2026.7.1.

OpenClaw przed wersją 2026.8.1 nie weryfikuje adresów URL zasobów wideo zwracanych przez dostawców, co umożliwia żądania po stronie serwera do prywatnych miejsc docelowych. Złośliwy lub skompromitowany dostawca może zwrócić prywatne adresy URL lub adresy pętli zwrotnej, powodując, że CLI wysyła żądania do wewnętrznych usług dostępnych z hosta OpenClaw.

OpenClaw przed wersją 2026.8.1 zawiera podatność na fałszowanie żądań po stronie serwera w predykatach oczekiwania przeglądarki, umożliwiającą atakującym obejście zabezpieczeń SSRF przez dotarcie do zablokowanych miejsc docelowych. Atakujący mogą użyć funkcji wait --fn w istniejącej sesji przeglądarki, aby wysłać żądania do adresów pętli zwrotnej lub prywatnych, bez kontroli nawigacji stosowanych do innych działań przeglądarki.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 zawiera podatność na fałszowanie żądań po stronie serwera w kontrolach DNS zaufanych hostów. Dla pobrań używających ponownego sprawdzenia DNS zaufanego hosta, zaufana nazwa hosta, która rozwiązuje się na nieokreślony adres (0.0.0.0 lub ::), omija walidację miejsca docelowego SSRF. Atakujący, który może wpływać na DNS dla dozwolonej nazwy hosta, może spowodować, że chronione pobranie dotrze do usługi związanej tylko z pętlą zwrotną i ujawni jej odpowiedź; praktyczny wpływ zależy od dostępnej usługi i zwracanych danych. Naprawiono w 2026.8.1.

OpenClaw przed wersją 2026.8.1 zawiera podatność obejścia polityki sandboxa w komponencie MCP loopback, która pozwala sesjom agenta kodującego w sandboxie na wywoływanie narzędzi jawnie zabronionych przez politykę sandbox.tools.deny. Atakujący mogą wyświetlić i wywołać zabronione narzędzia, aby uzyskać dostęp do danych lub wykonać działania, które operator zamierzał wykluczyć z sandboxa.

OpenClaw w wersjach >= 2026.3.25 i < 2026.8.1 stosuje ograniczanie szybkości dla nieprawidłowych tokenów webhooków Synology Chat przed uwierzytelnieniem i kluczuje limit na surowym adresie gniazda proxy. We wdrożeniach, gdzie OpenClaw znajduje się za zaufanym odwrotnym proxy lub tunelem i wielu zewnętrznych klientów współdzieli jeden adres gniazda, nieuwierzytelniony nadawca może wyczerpać wspólny budżet nieprawidłowych tokenów, powodując odrzucanie kolejnych prawidłowych wywołań webhooków Synology Chat do czasu wygaśnięcia okna ograniczania. Atakujący nie może uzyskać ważnego tokenu ani odczytać danych wiadomości; wpływ to tymczasowa utrata dostępności kanału. Naprawiono w 2026.8.1.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.6.6 i < 2026.8.1 stosuje ograniczanie szybkości dla nieprawidłowych żądań webhooków SMS przed weryfikacją podpisu Twilio i identyfikuje klientów tylko po surowym adresie gniazda proxy. We wdrożeniach, gdzie webhook SMS/Twilio znajduje się za zaufanym odwrotnym proxy lub tunelem, tak że wielu zewnętrznych klientów współdzieli jeden adres gniazda, nieuwierzytelniony zdalny nadawca może wyczerpać wspólny budżet ograniczania przed uwierzytelnieniem nieprawidłowymi żądaniami, powodując, że kolejne poprawnie podpisane wywołania Twilio otrzymują odpowiedzi HTTP 429. Wynikiem jest tymczasowa utrata przychodzących SMS-ów, dopóki wspólne okno pozostaje wyczerpane; atakujący nie może sfałszować wywołania ani uzyskać dostępu do danych wiadomości. Naprawiono w 2026.8.1.

OpenClaw w wersjach >= 2026.3.28 i < 2026.8.1 pozwala niezaufanemu plikowi .env w workspace ustawić zmienną środowiskową CLOUDSDK_PYTHON_ARGS. Gdy operator uruchomi OpenClaw w treści workspace kontrolowanej przez atakującego, a następnie uruchomi przepływ konfiguracji Gmail, wartość ta jest dziedziczona przy uruchomieniu gcloud, a launcher gcloud przekazuje ją jako argumenty do zaufanego interpretera Python. Luka została naprawiona w wersji 2026.8.1.

OpenClaw to aplikacja dystrybuowana przez npm. W wersjach >= 2026.4.25 i < 2026.8.1 filtr zmiennych środowiskowych obszaru roboczego nie blokował zmiennych kończących się na `_ENDPOINT`, więc niezaufany plik `.env` w obszarze roboczym mógł ustawić AZURE_SPEECH_ENDPOINT. Azure Speech preferował tę wartość nad skonfigurowanym regionem, więc gdy wykonano żądanie syntezy lub listy głosów, wybrany przez atakującego punkt końcowy otrzymał klucz Azure Speech operatora w nagłówku żądania, umożliwiając ponowne użycie klucza przeciwko zasobowi Azure Speech operatora. Eksploatacja wymaga, aby operator uruchomił OpenClaw w treści obszaru roboczego kontrolowanej przez atakującego z skonfigurowanym Azure Speech z kluczem i regionem oraz bez ustawionego zaufanego nadpisania punktu końcowego. Problem naprawiono w 2026.8.1.

OpenClaw w wersjach przed 2026.8.1 nie ogranicza prawidłowo dostępu do zadań cron poleceń operatora, pozwalając wywołującym agenta widocznym dla modelu na odczyt i wykonanie zadań poleceń bez właściciela. Atakujący mogą sprawdzać przechowywane zmienne środowiskowe i wymuszać uruchomienie wyłączonych lub niezaplanowanych zadań poleceń, aby uzyskać dostęp do sekretów i wykonać polecenia autorstwa operatora. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach >= 2026.4.5 i < 2026.8.1 waliduje pojedynczy wynik rozwiązywania DNS dla skonfigurowanej nazwy hosta zdalnego Chrome DevTools Protocol (CDP), ale transporty WebSocket i Playwright wykonują później niezależne zapytanie DNS, odrzucając przypięcie DNS wymuszone w momencie walidacji. Atakujący kontrolujący zatwierdzoną nazwę hosta CDP lub jej odpowiedzi DNS może wykorzystać tę lukę typu check-then-use poprzez DNS rebinding, aby zmusić Gateway do połączenia się z adresem loopback, prywatnym, link-local, metadanych chmury lub innym adresem zabronionym przez politykę SSRF.

OpenClaw LINE przed wersją 2026.8.1 zawiera podatność kontroli dostępu, gdzie tryb listy dozwolonych grup po cichu dziedziczy wartości DM allowFrom, gdy groupAllowFrom nie jest jawnie skonfigurowane. Atakujący z uczestnictwem w grupie mogą wywołać agenta pomimo skonfigurowanych ograniczeń listy dozwolonych grup, gdy dostęp DM jest szerszy niż zamierzony dostęp grupowy.

OpenClaw przed wersją 2026.8.1 nie neutralizuje znaków formuł arkusza kalkulacyjnego w nazwach wyświetlanych uczestników w eksportach CSV obecności. Atakujący mogą wstrzyknąć komórki przypominające formuły, które wykonują się z uprawnieniami użytkownika arkusza kalkulacyjnego, gdy eksport zostanie otwarty w aplikacjach z obsługą formuł.

OpenClaw (pakiet npm `openclaw`) przed wersją 2026.8.1 nie neutralizuje wiodących znaków, które aplikacje arkuszy kalkulacyjnych interpretują jako formuły, gdy Control UI eksportuje dane sesji do CSV. Chociaż etykiety sesji były cytowane jako tekst CSV, uczestnik o niższym zaufaniu, który może wpływać na etykietę sesji lub pierwszą wiadomość użytkownika, może umieścić komórkę przypominającą formułę w eksporcie Usage; jeśli operator otworzy ten eksport w aplikacji arkusza kalkulacyjnego z włączoną oceną formuł, komórka może zostać oceniona z uprawnieniami użytkownika arkusza kalkulacyjnego. Sam OpenClaw nie ocenia formuły, a praktyczny wpływ zależy od ustawień bezpieczeństwa aplikacji arkusza kalkulacyjnego. Problem naprawiono w 2026.8.1.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w punkcie końcowym sessions.create. Umożliwia ona wywołującym z uprawnieniem operator.write modyfikowanie konfiguracji sesji zarezerwowanych dla zakresu operator.admin.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.22 i < 2026.8.1 zawiera lukę obejścia zatwierdzania w polityce zatwierdzania exec: polityka mogła zaufać wrapperowi uruchamiającemu polecenia bez sprawdzenia polecenia zawartego w jego argumentach. Po zatwierdzeniu lub trwałym zatwierdzeniu przez operatora nieszkodliwego wywołania wrappera, późniejsza tura agenta mogła podstawić dowolne wewnętrzne polecenie i wykonać je z uprawnieniami hosta procesu OpenClaw bez dodatkowego monitu o zatwierdzenie.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji, w której zatwierdzenia 'Allow Always' dla dokładnych poleceń są utrwalane jako uprawnienia tylko ścieżkowe w systemach macOS i Linux. Atakujący mogą ponownie użyć tego samego pliku wykonywalnego z różnymi argumentami, aby wykonać polecenia bez wywoływania nowych monitów o zatwierdzenie, potencjalnie uzyskując dostęp do plików lub usług wewnętrznych.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę w parserze poleceń, w której zmienione znaki nowej linii mylą parsowanie listy dozwolonych exec, umożliwiając wykonanie ukrytych poleceń. Atakujący mogą przygotować dane wejściowe ze zmienionymi znakami nowej linii, aby obejść walidację listy dozwolonych i wykonać dodatkowe polecenia bez oczekiwanych monitów o autoryzację.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę wyczerpania zasobów w listenerze Gateway, która pozwala nieuwierzytelnionym klientom zatrzymać gniazda odpowiedzi poprzez wysyłanie żądań uaktualnienia WebSocket bez pasującej semantyki połączenia. Atakujący mogą wielokrotnie wysyłać zniekształcone żądania uaktualnienia, aby wyczerpać zasoby listenera i spowodować odmowę usługi bez zużywania budżetu połączeń przed uwierzytelnieniem WebSocket.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w wysyłce narzędzi umiejętności, która nie przenosi statusu właściciela nadawcy. Nadawcy niebędący właścicielami, upoważnieni do wywoływania poleceń umiejętności, mogą uzyskać dostęp do narzędzi zastrzeżonych dla właściciela i poświadczeń serwera zarezerwowanych dla właścicieli.

OpenClaw (pakiet npm openclaw) w wersjach >= 2026.5.2 i < 2026.8.1 zawiera lukę nieprawidłowej autoryzacji w obsłudze grup WhatsApp. Nadawca dopuszczony do zwykłych wiadomości, ale odrzucony przez commands.allowFrom lub autoryzację właściciela, może wydać polecenie /new <model>, resetując współdzieloną sesję grupową i utrwalając nadpisanie dostawcy i modelu.

OpenClaw to aplikacja bramy dystrybuowana przez npm. W wersjach >= 2026.7.1 i < 2026.8.1 dostarczanie załączników Synology Chat może utracić przypięcie DNS: Gateway waliduje pojedynczy wynik DNS dla dostarczonego adresu URL pliku, ale następnie przekazuje oryginalną nazwę hosta do Synology NAS, gdzie może ona zostać rozwiązana na inny cel. Gdy dostarczanie załączników akceptuje nazwę hosta pod wpływem zdalnym, atakujący może użyć DNS rebinding, aby zmusić NAS do pobrania prywatnego lub zabronionego zasobu i zwrócenia jego zawartości do rozmowy (SSRF).

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.5.12 i < 2026.8.1 nie unieważnia natychmiast autoryzacji HTTP Canvas po odwołaniu sparowanego węzła. Odwołanie węzła unieważnia klienta WebSocket, ale autoryzacja HTTP Canvas nadal akceptuje i odnawia wcześniej przyznaną zdolność do zakończenia czyszczenia po zamknięciu WebSocket.

OpenClaw w wersjach >= 2026.6.9 i < 2026.8.1 nie deklaruje natywnego parametru chatId jako celu dostarczania w funkcji odpinania Feishu, więc żądania odpięcia mogą obejść współdzieloną kontrolę celu między kontekstami tego samego dostawcy. Gdy tools.message.crossContext.allowWithinProvider jest wyłączone, uwierzytelniony nadawca może usunąć przypięcie z innej grupy Feishu, do której nadawca i skonfigurowane konto mają dostęp.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nie egzekwuje poprawnie polityk narzędzi na czat dla narzędzi runtime Codex app-server. Reguła tools.allow na poziomie rozmowy filtrowała narzędzia OpenClaw, ale nie ograniczała narzędzi shell, process, file i patch należących do runtime Codex. Gdy rozmowa o niższym zaufaniu została przypisana do runtime Codex i ograniczona listą dozwolonych narzędzi na czat, uczestnik mogący wywołać tego agenta mógł nadal uzyskać dostęp do natywnych narzędzi poleceń i plików, omijając skonfigurowaną listę dozwolonych.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 zawiera obejście kontroli dostępu w integracji Microsoft Teams. Gdy groupPolicy jest ustawione na allowlist, brakująca lub nieobsługiwana skonfigurowana grupa dostępu powoduje wynik rozwiązywania grupy jako odmowa, który nie jest odrzucany przez końcową kontrolę dopuszczenia wiadomości.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę path traversal w obsłudze załączników głosowych QQBot, gdzie nazwy plików są dekodowane dwukrotnie, pozwalając zakodowanym segmentom traversal pojawić się ponownie po sanityzacji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.28 i < 2026.8.1 zawiera problem ujawnienia poświadczeń w mechanizmie awaryjnym osadzania pamięci. Gdy skonfigurowany jest zdalny fallback osadzania, a główny dostawca osadzania zawiedzie, żądanie może zostać wysłane do innego dostawcy fallback, nadal używając skonfigurowanego klucza API głównego dostawcy.

OpenClaw to agent kodujący dystrybuowany jako pakiet npm 'openclaw'. W wersjach 2026.7.1 do 2026.7.2 alternatywne, ale prawidłowe zapisy URL 'file:' dostarczone przez Agent Client Protocol (ACP) były traktowane jako ścieżki względne i nieprawidłowo klasyfikowane jako odczyty ograniczone do katalogu roboczego sesji.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.7.2 i < 2026.9.2 zawiera warunek wyścigu w ścieżce transkrypcji głosowej czasu rzeczywistego Discord. Równoczesne transkrypcje głosowe klasyfikowane jako kontrolne mogły zużyć kontekst mówcy należący do innego uczestnika po asynchronicznej kontroli, powodując, że transkrypcja dziedziczy status właściciela innego mówcy.

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nieprawidłowo egzekwuje polityki narzędzi nadawcy podczas generowania nazw plików pamięci sesji. W dotkniętych wersjach generowanie nazw plików tworzyło wbudowany helper, który zachowywał narzędzia usunięte przez politykę nadawcy źródłowego.

Przed wersją 2026.8.1 pakiet npm openclaw mógł zawierać deterministyczne hashe obliczone na podstawie oryginalnej, niezacenzurowanej konfiguracji w odpowiedziach z zacenzurowaną konfiguracją. Gdy hasło bramy miało niską entropię, a pozostałe wartości konfiguracji były możliwe do odtworzenia, hashe te działały jako offline'owe weryfikatory hasła: osoba mogąca uzyskać zacenzurowaną konfigurację (np. przez config.get) mogła testować kandydatów na hasło offline, bez ograniczeń prędkości ścieżki uwierzytelniania bramy. Odtworzenie hasła mogło przyznać udokumentowaną władzę operatora opartą na wspólnym sekrecie. Odniesienia do sekretów nie były dotknięte w ten sam sposób. Problem naprawiono w wersji 2026.8.1.