Podatności OpenClaw

W OpenClaw w wersjach od 2026.6.6 do 2026.6.8 występuje podatność polegająca na pominięciu autoryzacji w obsłudze mutacji wiadomości. Umożliwia ona wywołującym o niższym poziomie zaufania wykonanie operacji wymagających silniejszej autoryzacji.

Podatność w OpenClaw przed wersją 2026.6.9 umożliwia ominięcie autoryzacji w wrapperze flock, co pozwala mniej zaufanym wywołującym na wykonywanie lub utrwalanie działań poza zamierzonym zakresem uprawnień. Atakujący mogą wykorzystać skonfigurowane ścieżki wejściowe do obejścia wiązania zatwierdzenia wykonywania i przeprowadzić nieautoryzowane operacje, gdy funkcja jest włączona.

Podatność w OpenClaw przed wersją 2026.6.9 w funkcji synchronizacji mirrorów umożliwia podążanie za dowiązaniami symbolicznymi, co pozwala mniej zaufanym wywołującym na wykonywanie akcji wymagających silniejszej autoryzacji. Atakujący mogą wykorzystać zdalne dowiązania symboliczne do ominięcia kontroli polityk i granic autoryzacji, gdy funkcja jest włączona i dostępna.

Podatność w OpenClaw przed wersją 2026.6.8 umożliwia ominięcie autoryzacji w kompatybilnych z OpenAI nadpisywaniach modeli HTTP. Niżej zaufani wywołujący mogą wykonywać akcje wymagające silniejszych kontroli autoryzacyjnych.

Podatność w OpenClaw przed wersją 2026.5.28 umożliwia nadpisywanie poświadczeń dostawcy przez pliki dotenv w przestrzeni roboczej. Atakujący z niższym poziomem zaufania do skonfigurowanych ścieżek wejściowych mogą ujawnić wrażliwe dane i poświadczenia, które powinny pozostać w zaufanych granicach.

OpenClaw w wersjach przed 2026.5.12 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń w analizie poleceń inline w powłoce, co pozwala uwierzytelnionym operatorom na wykonywanie niezatwierdzonych poleceń.

OpenClaw w wersjach przed 2026.5.2 zawiera podatność na przejście ścieżki w trakcie wykonywania zadań konserwacyjnych, co pozwala na wpływanie na wybór polecenia kosza przez ścieżki usług pochodzące z przestrzeni roboczej. Atakujący mogą uruchamiać niezamierzone lokalne pliki wykonywalne z niezamierzonych ścieżek operatora podczas operacji konserwacyjnych.

OpenClaw przed wersją 2026.5.26 zawiera lukę w niewystarczającej sanitizacji w sanitariuszu środowiska hosta, która pozwala na ominięcie walidacji zmiennych kontrolnych Node.js. Atakujący z dostępem do plików .env, nadpisania środowiska narzędzi lub bloków środowiska umiejętności mogą przekazywać złośliwe zmienne kontrolne Node.js.

OpenClaw przed wersją 2026.4.25 zawiera podatność na niewłaściwą walidację danych wejściowych w wywołaniach polityki grupy narzędzi, które akceptują niezweryfikowane identyfikatory grup. Atakujący mogą dostarczyć identyfikator grupy do resolvera polityki, co może prowadzić do błędnych decyzji dotyczących polityki grupy dla wywołań narzędzi.

OpenClaw przed wersją 2026.5.12 zawiera podatność na powtórne użycie tokenów bootstrap, co pozwala na ponowne wykorzystanie tokenów z szerszymi zakresem żądań przez osoby z oczekującymi tokenami. Atakujący mogą powtórzyć tokeny bootstrap przed ich zatwierdzeniem, co umożliwia eskalację uprawnień parowania poza zamierzone limity.

OpenClaw w wersji przed 2026.5.6 zawiera lukę umożliwiającą obejście listy dozwolonych elementów w funkcji exec Swift dla macOS, która nie uwzględnia połączonych flag poleceń POSIX. Atakujący mogą wykonać zawartość powłoki poza zamierzonym sprawdzeniem listy dozwolonych elementów, co może prowadzić do nieautoryzowanego wykonania poleceń w zależności od konfiguracji operatora.

OpenClaw przed wersją 2026.5.7 zawiera lukę w polityce nadawcy w BlueBubbles, która pozwala uczestnikom na dopasowanie wpisów z listy dozwolonych nadawców za pomocą metadanych rozmowy zamiast stabilnej tożsamości nadawcy.

OpenClaw przed wersją 2026.5.26 zawiera podatność na walidację nazw hostów, która pozwala atakującym na obejście porównań z listą blokowanych adresów przy użyciu notacji z kropką na końcu w adresach URL pochodzących z modeli lub przestrzeni roboczych.

OpenClaw w wersjach przed 2026.5.2 zawiera podatność na wstrzykiwanie zmiennych środowiskowych, gdzie zmienna STATE_DIRECTORY w pliku .env może wpływać na ścieżki zależności runtime. Atakujący mogą manipulować zmienną STATE_DIRECTORY, aby ładować zależności z niezamierzonych lokalnych ścieżek, co może prowadzić do wykonania złośliwego kodu.

OpenClaw w wersjach przed 2026.5.3 zawiera podatność w egzekwowaniu polityki, która pozwala na dopasowanie kontaktów Zalo z modyfikowalnymi metadanymi wyświetlania do wpisów polityki allowFrom poprzez zmiany nazw wyświetlania. Atakujący z modyfikowalnymi nazwami wyświetlania mogą otrzymywać odpowiedzi agenta przeznaczone dla różnych tożsamości Zalo, gdy funkcja jest włączona.

OpenClaw w wersji 2026.4.23 przed 2026.4.24 zawiera podatność na niebezpieczne uprawnienia plików w konfiguracji odzyskiwania, co pozwala na przywrócenie pliku OpenClaw.json z zbyt szerokimi uprawnieniami.

OpenClaw w wersjach przed 2026.4.2 zawiera podatność na obejście mechanizmu inline-eval, co pozwala uwierzytelnionym operatorom osłabić rygorystyczne kontrole listy dozwolonych elementów za pomocą parametrów pozycyjnych powłoki.

OpenClaw przed wersją 2026.4.25 zawiera podatność na eskalację uprawnień w autoryzacji poleceń wewnętrznych i czatu internetowego, co pozwala nadawcom na dziedziczenie stanu ownerAllowFrom z użyciem symbolu wieloznacznego poza granicami kanałów.

OpenClaw przed wersją 2026.5.12 zawiera lukę, która pozwala na obejście walidacji wzorca argumentów w liście dozwolonych poleceń. Atakujący mogą uruchamiać dozwolone polecenia z nieograniczonymi argumentami, co może prowadzić do nieautoryzowanego dostępu do plików, sieci lub wykonania poleceń.

OpenClaw przed wersją 2026.4.25 zawiera lukę w zakresie ograniczeń podczas ponownego parowania urządzeń, która pozwala uwierzytelnionym operatorom na przywrócenie szerszych zakresów niż zamierzono poprzez przesyłanie żądań ponownego parowania z pustymi zestawami zakresów.

OpenClaw przed wersją 2026.5.12 zawiera podatność na obejście powiadomień, która pozwala na wprowadzenie zdarzeń reakcji Slacka do potoku agenta, mimo że powiadomienia reakcji są wyłączone.

OpenClaw przed wersją 2026.4.25 zawiera lukę w zakresie egzekwowania kontroli, która pozwala uwierzytelnionym użytkownikom na wykonanie komendy focus bez odpowiednich sprawdzeń autoryzacji.

OpenClaw w wersjach przed 2026.5.7 zawiera podatność na eskalację uprawnień, w której funkcja allowFrom niewłaściwie weryfikuje tożsamość konta Discord, używając zmiennych nazw wyświetlanych zamiast niezmiennych identyfikatorów użytkowników. Atakujący mogą zmienić swoją nazwę wyświetlaną, aby dopasować ją do wpisu w polityce i uzyskać nieautoryzowany dostęp do agenta przeznaczonego dla innej tożsamości Discord.

OpenClaw przed wersją 2026.5.26 zawiera lukę umożliwiającą obejście listy dozwolonych poleceń, co pozwala uwierzytelnionym operatorom na wykonywanie efektów ubocznych na poziomie wrappera poza zamierzonymi poleceniami. Atakujący mogą tworzyć żądania poleceń, które omijają walidację listy dozwolonych poleceń.

OpenClaw w wersjach przed 2026.5.6 zawiera podatność na eskalację uprawnień w zakresie zapisu pamięci aktywnej, która pozwala operatorom bramy z dostępem operator.write na modyfikację globalnej konfiguracji bez wymaganych uprawnień operator.admin.

OpenClaw przed wersją 2026.4.29 zawiera podatność na przejście ścieżki w pomocniku instalacyjnym, która pozwala plikom .env w przestrzeni roboczej na nadpisanie konfiguracji npm_execpath używanej do instalacji zależności runtime. Atakujący z dostępem do przestrzeni roboczej mogą uruchomić niezamierzone lokalne pliki wykonywalne menedżera pakietów podczas konfiguracji zależności.

OpenClaw w wersjach przed 2026.5.6 zawiera podatność na obejście hooków, gdzie komendy umiejętności przesyłane przez podatną ścieżkę dyspozycji omijają pokrycie hooków przed wywołaniem narzędzi. Atakujący mogą wykorzystać tę podatność, wysyłając komendy umiejętności przez tę ścieżkę, aby obejść mechanizmy audytu i egzekwowania polityki oparte na hookach.

OpenClaw w wersjach przed 2026.4.29 zawiera lukę umożliwiającą obejście kontroli widoczności sesji w wyszukiwaniu pamięci współdzielonej. Umożliwia to uwierzytelnionym użytkownikom dostęp do wpisów pamięci bez odpowiednich uprawnień.

OpenClaw przed wersją 2026.5.26 zawiera podatność na obejście autoryzacji, która pozwala na przywrócenie autorytetu tokena węzła po jego unieważnieniu. Atakujący z sparowanym urządzeniem mogą odzyskać dostęp na poziomie węzła WebSocket bez ponownej zgody.

OpenClaw w wersjach przed 2026.5.2 zawiera podatność na wstrzykiwanie zmiennych środowiskowych, która pozwala plikom .env w przestrzeni roboczej wpływać na wybór środowiska Python podczas wykonywania konfiguracji gcloud dla Gmaila. Atakujący z dostępem do repozytoriów mogą manipulować zmienną CLOUDSDK_PYTHON, co może prowadzić do wykonania dowolnego kodu.

OpenClaw przed wersją 2026.5.12 zawiera podatność na atak typu cross-site scripting w eksportowanym HTML sesji, która zachowuje niebezpieczne linki javascript: i data: w generowanej treści.

OpenClaw w wersjach przed 2026.5.12 zawiera podatność na ujawnienie informacji w serwerach MCP obsługujących streamable-http, które przekazują niestandardowe nagłówki skonfigurowane przez operatora podczas przekierowań między źródłami. Atakujący mogą wykorzystać tę podatność do wykradania wrażliwych nagłówków, takich jak klucze API czy dane uwierzytelniające do routingu najemców.

OpenClaw przed wersją 2026.5.7 zawiera podatność w walidacji nazw hostów w punktach końcowych ponawiania prób, która pozwala na dopasowanie prefiksów nazw hostów zamiast dokładnych nazw. Atakujący mogą to wykorzystać, tworząc prefiks nazwy hosta przypominający zaufany host, aby wysłać dane uwierzytelniające do niezaufanych punktów końcowych.

OpenClaw przed wersją 2026.5.6 zawiera podatność w obsłudze zdarzeń Mattermost, która nie waliduje metadanych typu kanału. Atakujący mogą ominąć politykę DM, wysyłając spreparowane zdarzenia Mattermost bez informacji o typie kanału, aby przetwarzać ograniczoną treść.

Podatność w OpenClaw przed wersją 2026.5.12. Polega na obejściu listy dozwolonych poleceń (allowlist) w obsłudze zakodowanych poleceń PowerShell. Atakujący może wykonać zakodowane polecenia, używając skróconych aliasów flag, które nie są rozpoznawane przez parser listy dozwolonych. Zdalni uwierzytelnieni operatorzy mogą ominąć sprawdzanie listy dozwolonych, używając nierozpoznanych form aliasów zakodowanych poleceń, aby wykonać dowolny kod PowerShell.

Podatność w OpenClaw przed wersją 2026.5.6 umożliwia ominięcie wymuszenia konfiguracji w powiązaniach dynamic-agent w Feishu. Uwierzytelnieni nadawcy mogą tworzyć lub aktualizować powiązania bez przestrzegania skonfigurowanych kontroli config-write, co pozwala na nieautoryzowane modyfikacje stanu powiązań.

Podatność w OpenClaw przed wersją 2026.4.27 umożliwia ominięcie autoryzacji w komendach slash QQBot przed ich wysłaniem. Uwierzytelnieni nadawcy mogą pominąć sprawdzanie polityki allowFrom, co pozwala na wywołanie komend przed zastosowaniem skonfigurowanych reguł kontroli dostępu.

OpenClaw przed wersją 2026.4.29 zawiera lukę w autoryzacji w komendzie strumieniowania QQBot, która pozwala uwierzytelnionym nadawcom na modyfikację konfiguracji bez wymaganych ograniczeń allowFrom. Atakujący mogą zmieniać konfigurację strumieniowania QQBot poza zamierzoną polityką administracyjną.

OpenClaw przed wersją 2026.5.18 zawiera podatność walidacji nagłówka tożsamości, umożliwiającą lokalnym wywołującym z tego samego hosta fałszowanie nagłówków tożsamości zaufanego proxy. Atakujący z dostępem do portu Gateway proxy mogą dostarczyć sfałszowane nagłówki tożsamości, aby przyjąć tożsamość operatora i potencjalnie eskalować uprawnienia.

OpenClaw przed wersją 2026.5.18 zawiera podatność w mechanizmie walidacji listy dozwolonych poleceń w system.run safe-bin. Uwierzytelnieni operatorzy mogą wykorzystać metaznaki powłoki w zatwierdzonych poleceniach do odczytu lokalnych plików i ujawnienia poufnych danych konfiguracyjnych.

OpenClaw przed wersją 2026.4.22 zawiera lukę umożliwiającą obejście unieważnienia sekretów webhook. Stare sekrety Slack i Zalo pozostają aktywne po wykonaniu secrets.reload, co pozwala atakującym na wysyłanie zdarzeń webhook z użyciem wcześniejszych poświadczeń.

OpenClaw przed wersją 2026.5.18 zawiera podatność na obcinanie wyświetlania zatwierdzeń, umożliwiającą uwierzytelnionym użytkownikom ukrywanie sufiksów poleceń przed osobami zatwierdzającymi. Atakujący mogą przesyłać zbyt duże polecenia exec z nieszkodliwymi prefiksami i złośliwymi sufiksami, aby po zatwierdzeniu wykonać nieautoryzowane operacje.

Podatność obejścia autoryzacji w OpenClaw przed wersją 2026.5.6. Uwierzytelnieni nadawcy mogą wykonywać polecenia zarezerwowane dla właściciela bez odpowiedniej kontroli dostępu, co pozwala na wykonanie uprzywilejowanych poleceń przez nieautoryzowanych użytkowników.

OpenClaw przed wersją 2026.5.2 zawiera podatność na ujawnienie poświadczeń w przekazywaniu akcji wiadomości. Pozwala to na przechwycenie tokenów bramy i ładunków akcji przez zdalnego atakującego.

OpenClaw przed wersją 2026.4.26 zawiera podatność na ujawnienie informacji w tworzeniu sesji w piaskownicy, która ujawnia rzeczywistą ścieżkę obszaru roboczego podrzędnym promptom. Atakujący mogą to wykorzystać, tworząc sesje podrzędne z sesji nadrzędnych w piaskownicy, aby ujawnić lokalizację obszaru roboczego hosta lub powiązany kontekst pamięci modelom podrzędnym.

Podatność w OpenClaw przed wersją 2026.4.7 w funkcji memory-wiki ingest. Uwierzytelnieni operatorzy z zakresem operator.write mogą odczytać dowolne pliki lokalne poza zamierzonymi źródłami, podając ścieżki plików.

OpenClaw przed wersją 2026.4.24 zawiera podatność na unieważnienie tokenów, umożliwiającą wywoływaczom z cofniętymi tokenami slash kontynuowanie wykonywania poleceń podczas okien odświeżania monitora. Atakujący mogą wykorzystać akceptację nieaktualnych tokenów do wywołania zachowania poleceń slash krótko po unieważnieniu tokena, potencjalnie wykonując nieautoryzowane działania w zależności od konfiguracji operatora.

OpenClaw przed wersją 2026.5.3 zawiera podatność eskalacji uprawnień w funkcji allowFrom, która wiąże się z zmiennymi nazwami wyświetlanymi Slacka. Atakujący z dostępem do konta Slack mogą zmienić metadane nazwy wyświetlanej, aby dopasować do wpisów polityki, potencjalnie uzyskując nieautoryzowany dostęp agenta.

W OpenClaw przed wersją 2026.5.18 stwierdzono podatność na wstrzykiwanie poleceń, gdzie argumenty powłoki mogą ulec zmianie między zatwierdzeniem a wykonaniem. Atakujący może odtworzyć argumenty poleceń po zatwierdzeniu listy dozwolonych, aby wykonać niezatwierdzone kształty poleceń, potencjalnie omijając zabezpieczenia.

OpenClaw przed wersją 2026.5.18 akceptuje zakresy operatorów zadeklarowane przez klienta WebSocket przed powiązaniem z zatwierdzonym parowaniem serwera lub bazą autoryzacji zaufanego proxy. Nieparowane lub ograniczone klienty Control UI zaufanego proxy mogą uzyskać buforowane uprawnienia operator.admin na aktywnych połączeniach WebSocket, aby wykonywać RPC bramy z ograniczeniami administracyjnymi.