Podatności OpenClaw

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.5.28 i < 2026.8.1 nieprawidłowo obsługuje listy archiwów w instalatorze umiejętności tar.bz2: ograniczone sufiksy wyjścia poleceń były traktowane jako pełne listy archiwum. Specjalnie spreparowane archiwum .tar.bz2/.tbz2 może wypchnąć zabronione wpisy poza obie zachowane listy, tak że kontrole liczby wpisów i rozmiaru przechodzą, a archiwum jest następnie w pełni rozpakowywane. Jeśli operator zatwierdzi instalację takiego złośliwego lub skompromitowanego archiwum umiejętności, pliki lub wpisy przekraczające limit są utrwalane w katalogu narzędzi umiejętności, zużywając miejsce na dysku lub i-węzły. Problem omija budżety ekstrakcji OpenClaw, ale sam w sobie nie wykonuje zawartości archiwum. Naprawiono w 2026.8.1.

Integracja Matrix w OpenClaw (pakiet npm @openclaw/matrix) w wersjach >= 2026.2.2 i < 2026.8.1 zamienia na małe litery całe identyfikatory użytkowników Matrix — w tym historyczne localparty i wrażliwą na wielkość liter część nazwy serwera — podczas wyprowadzania tożsamości autoryzacyjnej OpenClaw. W rezultacie różne uwierzytelnione konta Matrix mogą być znormalizowane do tej samej tożsamości autoryzacyjnej. Uczestnik Matrix kontrolujący kolidujące identyfikator konta (identyfikator ważny protokołowo, różniący się od skonfigurowanego tylko znakami, które OpenClaw składa przez case/Unicode; dopasowanie nazwy wyświetlanej nie jest wymagane) może przejąć uprawnienia allowlist, poleceń właściciela, zatwierdzania exec lub zatwierdzania wtyczek skonfigurowane dla innego konta. Problem naprawiono w wersji 2026.8.1.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie odwołuje dostępu do narzędzi pamięci, gdy operator wyłącza konfigurację pamięci na gorąco. Istniejące instancje narzędzi memory_search i memory_get zachowują włączoną konfigurację przechwyconą w momencie tworzenia, ponieważ resolver czasu wykonania traktuje jawne wyłączenie jak niedostępny snapshot konfiguracji i przywraca nieaktualne uprawnienia. W rezultacie podczas już trwającej tury agenta model może nadal przeszukiwać i odczytywać trwałą pamięć po tym, jak operator cofnął ten dostęp, do końca tej tury. Eksploatacja wymaga wyłączenia pamięci, podczas gdy wcześniej utworzone narzędzie pamięci pozostaje aktywne. Problem naprawiono w 2026.8.1.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje polityki toolsBySender nadawcy (globalnej lub per-agent) podczas obsługi wychodzących załączników. Nadawca, któremu jawnie odmówiono narzędzi do odczytu plików, może nadal spowodować odczyt znanego lokalnego pliku i zwrócenie go przez dyrektywę mediów w odpowiedzi końcowej lub załącznik wiadomości, ujawniając zawartość lokalnych plików.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 nie stosuje skutecznej polityki narzędzi pochodzącego żądającego podczas automatycznego przywoływania Active Memory. W środowiskach używających Active Memory wraz z regułami narzędzi specyficznymi dla żądającego, deterministyczne i ukryte ścieżki przywoływania mogą pobierać trwałą pamięć i wstrzykiwać ją do kontekstu agenta, nawet gdy toolsBySender jawnie odmawia temu żądającemu dostępu do narzędzi pamięci (memory_search, memory_get). W rezultacie dopuszczony, ale odmówiony nadawca może otrzymać informacje pochodzące z trwałej pamięci w odpowiedzi agenta bez bezpośredniego wywoływania żadnego narzędzia pamięci. Problem naprawiono w 2026.8.1.

Wersje OpenClaw przed 2026.8.1 nie weryfikują wszystkich pól źródłowych w załącznikach wiadomości strukturalnych, co pozwala atakującym ukryć niezweryfikowane ścieżki hosta za dozwolonymi źródłami załączników. Atakujący mogą wykorzystać wiele pól źródłowych, aby ominąć walidację ścieżek sandboxa i spowodować, że dostarczanie przez Telegram odczyta i wyśle znane pliki hosta, które w przeciwnym razie zostałyby odrzucone.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.4.5 i < 2026.8.1 może utracić ograniczenia pochodzącego żądającego i niezaufane pochodzenie, gdy tekst pochodzący z sesji jest zapisywany w pamięci sesji. W środowiskach, gdzie przechwytywanie pamięci sesji i 'dreaming' są włączone, ograniczony zewnętrzny nadawca, którego wiadomości są dopuszczane z ograniczonymi narzędziami, może zapisać instrukcje, które później są dostarczane do nieobsługiwanego agenta działającego w tle (dreaming) z szerszymi możliwościami plików i poleceń, co pozwala na działania wykraczające poza uprawnienia pierwotnej tury i wpływające na pliki, polecenia lub usługi dostępne dla tego agenta. Eksploatacja wymaga, aby treść została przechwycona, wybrana do późniejszego przetwarzania i podążona przez model. Problem naprawiono w wersji 2026.8.1.

OpenClaw przed wersją 2026.8.1 zawiera podatność obejścia autoryzacji w anulowaniu TaskFlow przez webhook, która pozwala atakującym anulować niepowiązane sesje. Atakujący z sekretem trasy webhook może dostarczyć dowolny klucz sesji podrzędnej, aby anulować pracę ACP lub subagenta poza skonfigurowaną autoryzacją trasy.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na path traversal w funkcji tools.fs.workspaceOnly, gdzie fallback nazw plików Unicode może normalizować zwalidowane komponenty katalogów nadrzędnych. Dopuszczeni requesterzy mogą wykorzystać kanonicznie równoważne katalogi siostrzane, aby czytać pliki poza skonfigurowanym obszarem roboczym.

@openclaw/whatsapp (npm) przed wersją 2026.8.1 udostępnia narzędzie logowania WhatsApp przez ogólną ścieżkę narzędzi kanału bez zachowania statusu właściciela pochodzącego nadawcy, więc granica narzędzia tylko dla właściciela nie jest egzekwowana. Dopuszczony nadawca niebędący właścicielem, który może sterować narzędziem, może zażądać wymuszonego logowania i otrzymać nowy kod QR dla skonfigurowanego konta, co powoduje rozłączenie konta WhatsApp bramy i utratę dostępności; pełne ponowne powiązanie konta wymaga dodatkowo, aby atakujący zeskanował zwrócony kod QR innym telefonem. Problem dotyczy granicy narzędzia tylko dla właściciela, a nie uwierzytelniania transportu WhatsApp. Naprawiono w wersji 2026.8.1.

OpenClaw przed wersją 2026.8.1 nie wiąże kontekstu katalogu roboczego z wielokrotnego użytku zatwierdzeniami exec, co pozwala zatwierdzonym poleceniom wykonywać się w różnych katalogach. Atakujący z zatwierdzeniem 'allow-always' może go ponownie wykorzystać do uruchomienia tego samego polecenia przeciwko nieprzejrzanym plikom lub repozytoriom, co daje znacząco różne skutki.

Wersje OpenClaw przed 2026.8.1 zawierają podatność na rozszerzenie zakresu autoryzacji w zatwierdzeniach typu allow-always w transferze plików, co pozwala atakującym na ponowne wykorzystanie stałych zgód dla nieprzejrzanych ścieżek. Atakujący mogą wykorzystać interpretację metaznaków glob i ponowne użycie nazw wyświetlanych węzłów, aby uzyskać dostęp do ścieżek siostrzanych lub różnych węzłów poza pierwotnym zakresem zgody operatora.

OpenClaw (pakiet npm 'openclaw') przed wersją 2026.8.1 mógł wysyłać poświadczenia dostawców zewnętrznych do niewłaściwego punktu końcowego. W dotkniętych wersjach, gdy dostawca zewnętrzny używa API zgodnego z OpenAI, a rozpoznane metadane modelu nie zawierają konkretnego adresu URL bazowego, przypięta sesja kontynuowana po gorącym przeładowaniu konfiguracji modelu zachowuje poświadczenia tego dostawcy, podczas gdy SDK OpenAI wybiera własny domyślny punkt końcowy. Wynikowe żądanie może ujawnić poświadczenia skonfigurowanego dostawcy zewnętrznego niepowiązanemu punktowi końcowemu i zakończyć się mylącym błędem uwierzytelniania.

OpenClaw przed wersją 2026.8.2 zawiera podatność na denial of service w relayu rozszerzenia przeglądarki, która pozwala nieuwierzytelnionym źródłom sieciowym wyczerpać pojemność oczekujących uwierzytelnień. Atakujący mogą zająć wszystkie oczekujące sloty, utrzymując ciche ulepszenia WebSocket, uniemożliwiając sparowanym rozszerzeniom ukończenie uwierzytelniania Browser Relay Authentication v2.

W OpenClaw do wersji 2026.9.5 wykryto podatność w funkcji createCanvasHostHandler pliku extensions/canvas/src/host/server.ts komponentu Canvas Host Route. Manipulacja może prowadzić do odmowy usługi. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny. Sugerowana poprawka 'streaming/size-limit' nigdy nie została wdrożona - najnowsza wersja 2026.9.5 nadal buforuje cały plik przez readFile(), w przeciwieństwie do ścieżki WS, która ogranicza do 64KB.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia obejście autoryzacji w mechanizmie dopasowywania wzorców glob dla listy dozwolonych akcji. Atakujący może spreparować ścieżki wejściowe, które omijają wzorce glob, co pozwala na wykonanie lub utrwalenie nieautoryzowanych akcji, gdy funkcja jest włączona.

OpenClaw przed wersją 2026.6.5 zawiera podatność na ominięcie autoryzacji w funkcji zatwierdzania wykonywania węzłów. Niżej zaufani wywołujący mogą wykonywać akcje wykraczające poza ich zamierzone uprawnienia, wykorzystując różne środowiska bramy i węzła. Atakujący mogą wykorzystać niedopasowane konfiguracje środowisk, aby utrwalić lub wykonać akcje przekraczające zatwierdzone uprawnienia wywołującego.

Podatność typu Server-Side Request Forgery (SSRF) w OpenClaw w wersjach od 2026.4.14 do 2026.5.25. Trasy snapshotów przeglądarki nie walidują miejsc docelowych po nawigacji, co pozwala atakującym z niższym poziomem zaufania na ominięcie zasad OpenClaw i dostęp do miejsc sieciowych, które powinny być zablokowane.

OpenClaw 2026.3.28 przed 2026.5.19 zawiera podatność na obejście autoryzacji w ścieżce 'browser act', która nieprawidłowo sprawdza bieżący URL zakładki. Atakujący z niższym poziomem zaufania lub skonfigurowanymi ścieżkami wejściowymi mogą wykonywać akcje wymagające silniejszej autoryzacji lub sprawdzenia polityki.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie autoryzacji w dyspozytorze poleceń umiejętności, co pozwala mniej zaufanym wywołującym na wykonywanie lub utrwalanie działań poza zamierzonym zakresem uprawnień. Atakujący mogą ominąć ograniczenia polityki narzędzi poprzez skonfigurowane ścieżki wejściowe, aby wykonać nieautoryzowane działania, gdy dotknięta funkcja jest włączona i osiągalna.

Podatność w OpenClaw przed wersją 2026.5.18 umożliwia ominięcie autoryzacji w funkcji zatwierdzania parowania urządzeń. Niżej uprzywilejowani wywołujący mogą wykonywać działania wykraczające poza ich zamierzone uprawnienia.

OpenClaw przed wersją 2026.5.22 zawiera podatność w wykrywaniu trybu konfiguracji, która umożliwia ładowanie niezaufanych wtyczek obszaru roboczego. Atakujący z dostępem niższego zaufania lub kontrolą nad skonfigurowanymi ścieżkami wejściowymi mogą wykonywać lub utrwalać działania poza zamierzonym poziomem autoryzacji.

OpenClaw 2026.5.12 przed 2026.5.26 zawiera podatność nieprawidłowej autoryzacji w funkcji ClickClack allowFrom. Gdy funkcja jest włączona, mniej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może wykonać działania poza zamierzoną autoryzacją, w tym uruchomić nieautoryzowane komendy.

W OpenClaw 2026.2.25 przed 2026.5.26, mniej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może ominąć ograniczenia szybkości uwierzytelniania WebSocket, które nie dotyczą przeglądarki. Gdy ta funkcja jest włączona i dostępna dla mniej zaufanego wejścia, może to zużywać zasoby bramy i zmniejszać dostępność usługi.

OpenClaw 2026.2.12 przed 2026.5.26 zawiera podatność na ominięcie autoryzacji w walidacji agentId. Atakujący o niższym zaufaniu może przesłać puste identyfikatory agentów, aby ominąć ograniczenia i wykonać akcje wymagające silniejszej autoryzacji.

OpenClaw w wersji 2026.1.20 przed 2026.5.27 zawiera podatność na ominięcie autoryzacji w funkcji device.pair.approve. Niżej zaufani wywołujący mogą ominąć kontrole zarządzania rolami. Atakujący mogą wykonywać akcje wymagające silniejszej autoryzacji, docierając do podatnej funkcji przez skonfigurowane ścieżki wejściowe.

OpenClaw w wersji 2026.5.14-beta.1 przed 2026.5.27 zawiera podatność autoryzacji w funkcji zatwierdzania wykonywania QQBot. Gdy funkcja jest włączona i osiągalna, niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może wykonać lub utrwalić akcje wykraczające poza zamierzone uprawnienia wywołującego, umożliwiając nieautoryzowanym nadawcom wykonywanie nieuprawnionych operacji.

OpenClaw w wersjach od 2026.4.20 do 2026.5.28 zawiera obejście polityki w funkcji przesyłania multimediów QQBot. Wywołanie o niższym zaufaniu lub skonfigurowana ścieżka wejściowa może spowodować, że przesyłane multimedia dotrą do miejsc w sieci, które powinny być blokowane przez politykę OpenClaw (SSRF).

Podatność w OpenClaw przed wersją 2026.6.5 umożliwia ominięcie uwierzytelniania w odpowiedziach HTTP Canvas, co pozwala atakującym o niższym poziomie zaufania na fałszowanie zaufanych akcji A2UI. Poprzez spreparowane żądania wysyłane skonfigurowanymi ścieżkami wejściowymi można wykonać operacje wymagające silniejszej autoryzacji, z pominięciem zamierzonych kontroli polityki bezpieczeństwa.

Podatność w OpenClaw przed wersją 2026.5.27 powoduje wyciek tokenów w żądaniach wychodzących do MS Teams, umożliwiając mniej zaufanym wywołującym ujawnienie tokenów Bot Framework. Atakujący mogą uzyskać dostęp do skonfigurowanych ścieżek wejściowych i przechwycić poświadczenia, które powinny pozostać w zaufanej granicy.

Podatność w OpenClaw przed wersją 2026.5.28 zawiera warunek wyścigu w mechanizmie sprawdzania DNS rebinding w funkcji safeFetch MS Teams. Gdy funkcja jest włączona i dostępna, mniej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może wygrać okno czasowe między walidacją DNS a użyciem, umożliwiając działania wymagające silniejszej autoryzacji lub sprawdzenia polityki.

Podatność w OpenClaw przed wersją 2026.6.1 umożliwia ominięcie maskowania poświadczeń w funkcji eksportu trajektorii. Niżej zaufani wywołujący mogą uzyskać dostęp do danych, które powinny pozostać w zaufanych granicach.

OpenClaw przed wersją 2026.6.1 zawiera podatność na atak typu slow-read, który wyczerpuje zasoby bramy. Atakujący z dostępem do skonfigurowanych ścieżek wejściowych może dostarczyć zdalne adresy URL multimediów, powodując zmniejszenie dostępności usługi.

W OpenClaw wersje od 2026.5.10-beta.1 do 2026.6.5 zawierają obejście autoryzacji w funkcji ClickClack agent-mode dispatch, które może ignorować politykę toolsAllow. Niżej zaufańszy wywołujący może wykonać akcje wymagające silniejszej autoryzacji.

Podatność w OpenClaw przed wersją 2026.6.5 umożliwia przekazywanie nagłówków Authorization podczas przekierowań MCP SSE. Gdy funkcja jest włączona i dostępna, osoba o niższym zaufaniu lub skonfigurowana ścieżka wejściowa może wykonać lub utrwalić działania wykraczające poza zamierzone uprawnienia.

Podatność w OpenClaw przed wersją 2026.6.5 umożliwia ominięcie uwierzytelniania, przez co mniej zaufani wywołujący mogą uzyskać dostęp do narzędzi administracyjnych. Atakujący mogą wykonywać akcje wymagające silniejszej autoryzacji, wykorzystując niewystarczające sprawdzanie zasad na skonfigurowanych ścieżkach wejściowych.

W OpenClaw przed wersją 2026.6.9 brakuje autoryzacji dla akcji moderacyjnych w Discord. Niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa mogły wykonać akcje wymagające silniejszej autoryzacji lub sprawdzenia polityki.

OpenClaw w wersji 2026.4.12-beta.1 przed 2026.6.6 zawiera podatność braku autoryzacji w funkcji akcji wiadomości MS Teams. Gdy podatna funkcja jest włączona i osiągalna, niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa może wykonywać akcje, które powinny wymagać silniejszej autoryzacji lub sprawdzenia polityki. Praktyczny wpływ zależy od konfiguracji operatora i możliwości dotarcia do tej ścieżki przez wejście o niższym zaufaniu. Problem został naprawiony w wersji 2026.6.6.

Podatność w OpenClaw przed wersją 2026.6.6 polega na nieprawidłowym filtrowaniu zmiennych środowiskowych podczas wykonywania poleceń na hoście. Atakujący z niższym poziomem zaufania lub skonfigurowanymi ścieżkami wejściowymi mogą wykonywać lub utrwalać działania poza zamierzonym poziomem autoryzacji.

OpenClaw w wersjach od 2026.6.1 do 2026.6.8 zawiera podatność na eskalację uprawnień w izolowanych zadaniach cron. Atakujący o niższym zaufaniu może odzyskać dostęp do zabronionych narzędzi wykonawczych poprzez niewłaściwie skonfigurowane ścieżki wejściowe.

Podatność w OpenClaw przed wersją 2026.6.6 umożliwia ominięcie polityki sieciowej w komponencie exec-server. Atakujący mogą wysyłać żądania HTTP przez exec-server, aby uzyskać dostęp do wewnętrznych zasobów sieciowych, które powinny być zablokowane przez skonfigurowane polityki.

Podatność w OpenClaw przed wersją 2026.6.6 wynika z nieprawidłowego filtrowania środowiska wykonawczego hosta, co umożliwia nadużycie transportu Git ext. Gdy funkcja jest włączona i dostępna, osoba o niższym zaufaniu lub skonfigurowana ścieżka wejściowa może wykonać lub utrwalić działania wykraczające poza zamierzone uprawnienia.

Podatność w OpenClaw przed wersją 2026.6.6 wynika z nieprawidłowego filtrowania zmiennych środowiskowych interpretera w środowisku wykonawczym hosta. Umożliwia to atakującemu o niższym poziomie zaufania dostarczenie spreparowanych zmiennych środowiskowych, co może prowadzić do wykonania lub utrwalenia działań wykraczających poza zamierzone uprawnienia.

W OpenClaw w wersjach od 2026.5.28 do 2026.6.5 występuje podatność polegająca na obejściu autoryzacji w natywnym wyszukiwaniu internetowym. Umożliwia ona wywołaniom o niższym poziomie zaufania wykonywanie operacji wymagających silniejszych kontroli polityki bezpieczeństwa.

Podatność w OpenClaw przed wersją 2026.6.6 umożliwia obejście polityki bezpieczeństwa podczas wykrywania CDP w przeglądarce, akceptując zablokowane adresy URL WebSocket. Atakujący z niższym poziomem zaufania mogą uzyskać dostęp do zasobów sieciowych, które powinny być blokowane przez politykę OpenClaw, gdy dotknięta funkcja jest włączona.

Podatność w OpenClaw w wersjach od 2026.3.22 do 2026.6.6 umożliwia obejście autoryzacji poprzez wykorzystanie identyfikatorów grup WhatsApp do spełnienia wymogów list dozwolonych nadawców o podwyższonym poziomie zaufania. Atakujący z niższym poziomem dostępu mogą wykonywać operacje wymagające silniejszej autoryzacji.

Podatność w OpenClaw w wersjach od 2026.5.20 do 2026.6.6 pozwala na ominięcie autoryzacji w funkcji pętli zwrotnej MCP. Niżej uprzywilejowani wywołujący mogą wykonywać narzędzia zarezerwowane dla właściciela, wykorzystując skonfigurowane ścieżki wejściowe.

W OpenClaw w wersjach od 2026.5.20 do 2026.6.9 wykryto podatność na eskalację uprawnień w komendach instalacji wtyczek. Pozwala ona mniej zaufanym wywołującym na wykonywanie lub utrwalanie działań wykraczających poza ich autoryzację.

OpenClaw w wersjach od 2026.6.5 do 2026.6.8 zawiera podatność w mechanizmie instalacji wtyczek, która może ominąć sprawdzanie polityki instalacji (autoryzacji). Gdy podatna funkcja jest włączona i dostępna, osoba lub proces o niższym zaufaniu może wykonać lub utrwalić działania wykraczające poza przyznane uprawnienia.

Podatność w OpenClaw w wersjach od 2026.6.6 do 2026.6.8 umożliwia ominięcie autoryzacji w akcjach związanych z serwerami Discord. Niżej zaufańscy wywołujący mogą wykonywać operacje wymagające silniejszych kontroli autoryzacji.