Katalog podatności CVE

OpenClaw w wersjach przed 2026.7.1 zawiera podatność na obejście sandboxa w narzędziu przeglądarki, która pozwala sesjom w sandboxie na dostęp do akcji przeglądarki sparowanego węzła mimo konfiguracji allowHostControl=false. Atakujący z kontrolą nad danymi wejściowymi agenta w sandboxie mogą wybrać sparowany węzeł i wykonywać operacje przeglądarki hosta, przeglądając lub manipulując połączonym profilem przeglądarki i jego uwierzytelnionym stanem.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu uprawnień administratora dla kontroli przeglądarki, gdy dostęp następuje przez metodę node.invoke, mimo że bezpośredni dostęp browser.request wymaga uprawnień administratora. W wdrożeniach Gateway respektujących tożsamość wywołującego, operator z uprawnieniami zapisu może przeglądać strony, nawigować po kartach lub wchodzić w interakcję z aplikacjami widocznymi w przeglądarce bez wymaganych uprawnień administratora. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo weryfikuje autoryzację właściciela w poleceniu instalacji Codex computer-use. Nadawcy kanału niebędący właścicielami mogą instalować dowolne wtyczki i uruchamiać procesy MCP z uprawnieniami użytkownika OpenClaw, wpływając na poufność, integralność i dostępność hosta. Luka została naprawiona w wersji 2026.7.1.

OpenClaw Codex w wersjach przed 2026.7.1 nie wymusza prawidłowo autoryzacji właściciela przy tworzeniu natywnych powiązań konwersacji. Nadawcy kanału niebędący właścicielami, posiadający dostęp do poleceń, mogą tworzyć powiązania z natywnym środowiskiem Codex i wykonywać tury z dostępem do plików, narzędzi i procesów hosta. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nie wymusza wymogu autoryzacji wyłącznie dla właściciela w monitach uprawnień Claude Code dostarczanych przez most kanału MCP. Autoryzowany nadawca kanału niebędący właścicielem, posiadający dostęp do poleceń kanału, może zatwierdzić lub odrzucić oczekujące żądanie uprawnień przeznaczone dla właściciela, powodując wykonanie żądanej akcji bez zgody właściciela. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo obsługuje wielkość liter w narzędziu cron widocznym dla modelu: ładunek o mieszanej wielkości liter może ominąć zabezpieczenie przed wykonaniem poleceń powłoki i później znormalizować się do zadania polecenia. Aktor mogący sterować agentem z dostępem do narzędzi może utworzyć trwałe zadanie cron wykonujące wybrane przez atakującego polecenia z uprawnieniami użytkownika procesu OpenClaw. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nieprawidłowo ufa pochodzeniu żądającego w message.action. W wdrożeniach Gateway respektujących tożsamość, operator z uprawnieniami zapisu może podać identyfikator innego nadawcy w kontrolach autoryzacji kanału i wywołać akcję kanału pod podszywaną tożsamością, uzyskując dostęp do operacji, które adapter kanału odmówiłby prawdziwemu wywołującemu. Luka została naprawiona w wersji 2026.7.1.

OpenClaw w wersjach przed 2026.7.1 nie ogranicza narzędzi infrastrukturalnych przeznaczonych wyłącznie dla właściciela, udostępnianych przez endpoint chat.send. W wdrożeniach Gateway z trybami uwierzytelniania respektującymi tożsamość, operator niebędący właścicielem z uprawnieniami zapisu może rozpocząć turę czatu, której inwentarz narzędzi obejmuje narzędzia gateway i cron, powodując wywołanie przez agenta operacji konfiguracyjnych lub harmonogramowania zastrzeżonych dla właściciela, w tym trwałych zmian stanu. Luka została naprawiona w wersji 2026.7.1.

OpenClaw Slack w wersjach przed 2026.8.1 nie wymusza prawidłowo list dozwolonych nadawców w bezpośrednich wiadomościach grupowych. Niedozwoleni uczestnicy mogą wyzwalać agentów Slack i uzyskiwać dostęp do narzędzi i danych przyznanych tym agentom, omijając skonfigurowane polityki nadawców. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach >= 2026.3.28 i < 2026.8.1 pozwala niezaufanemu plikowi .env w workspace ustawić zmienną środowiskową CLOUDSDK_PYTHON_ARGS. Gdy operator uruchomi OpenClaw w treści workspace kontrolowanej przez atakującego, a następnie uruchomi przepływ konfiguracji Gmail, wartość ta jest dziedziczona przy uruchomieniu gcloud, a launcher gcloud przekazuje ją jako argumenty do zaufanego interpretera Python. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach przed 2026.8.1 nie ogranicza prawidłowo dostępu do zadań cron poleceń operatora, pozwalając wywołującym agenta widocznym dla modelu na odczyt i wykonanie zadań poleceń bez właściciela. Atakujący mogą sprawdzać przechowywane zmienne środowiskowe i wymuszać uruchomienie wyłączonych lub niezaplanowanych zadań poleceń, aby uzyskać dostęp do sekretów i wykonać polecenia autorstwa operatora. Luka została naprawiona w wersji 2026.8.1.

OpenClaw w wersjach >= 2026.4.5 i < 2026.8.1 waliduje pojedynczy wynik rozwiązywania DNS dla skonfigurowanej nazwy hosta zdalnego Chrome DevTools Protocol (CDP), ale transporty WebSocket i Playwright wykonują później niezależne zapytanie DNS, odrzucając przypięcie DNS wymuszone w momencie walidacji. Atakujący kontrolujący zatwierdzoną nazwę hosta CDP lub jej odpowiedzi DNS może wykorzystać tę lukę typu check-then-use poprzez DNS rebinding, aby zmusić Gateway do połączenia się z adresem loopback, prywatnym, link-local, metadanych chmury lub innym adresem zabronionym przez politykę SSRF.

OpenClaw (pakiet npm 'openclaw') w wersjach >= 2026.3.22 i < 2026.8.1 zawiera lukę obejścia zatwierdzania w polityce zatwierdzania exec: polityka mogła zaufać wrapperowi uruchamiającemu polecenia bez sprawdzenia polecenia zawartego w jego argumentach. Po zatwierdzeniu lub trwałym zatwierdzeniu przez operatora nieszkodliwego wywołania wrappera, późniejsza tura agenta mogła podstawić dowolne wewnętrzne polecenie i wykonać je z uprawnieniami hosta procesu OpenClaw bez dodatkowego monitu o zatwierdzenie.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji, w której zatwierdzenia 'Allow Always' dla dokładnych poleceń są utrwalane jako uprawnienia tylko ścieżkowe w systemach macOS i Linux. Atakujący mogą ponownie użyć tego samego pliku wykonywalnego z różnymi argumentami, aby wykonać polecenia bez wywoływania nowych monitów o zatwierdzenie, potencjalnie uzyskując dostęp do plików lub usług wewnętrznych.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę w parserze poleceń, w której zmienione znaki nowej linii mylą parsowanie listy dozwolonych exec, umożliwiając wykonanie ukrytych poleceń. Atakujący mogą przygotować dane wejściowe ze zmienionymi znakami nowej linii, aby obejść walidację listy dozwolonych i wykonać dodatkowe polecenia bez oczekiwanych monitów o autoryzację.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę wyczerpania zasobów w listenerze Gateway, która pozwala nieuwierzytelnionym klientom zatrzymać gniazda odpowiedzi poprzez wysyłanie żądań uaktualnienia WebSocket bez pasującej semantyki połączenia. Atakujący mogą wielokrotnie wysyłać zniekształcone żądania uaktualnienia, aby wyczerpać zasoby listenera i spowodować odmowę usługi bez zużywania budżetu połączeń przed uwierzytelnieniem WebSocket.

OpenClaw w wersjach przed 2026.8.1 zawiera lukę obejścia autoryzacji w wysyłce narzędzi umiejętności, która nie przenosi statusu właściciela nadawcy. Nadawcy niebędący właścicielami, upoważnieni do wywoływania poleceń umiejętności, mogą uzyskać dostęp do narzędzi zastrzeżonych dla właściciela i poświadczeń serwera zarezerwowanych dla właścicieli.

OpenClaw to aplikacja bramy dystrybuowana przez npm. W wersjach >= 2026.7.1 i < 2026.8.1 dostarczanie załączników Synology Chat może utracić przypięcie DNS: Gateway waliduje pojedynczy wynik DNS dla dostarczonego adresu URL pliku, ale następnie przekazuje oryginalną nazwę hosta do Synology NAS, gdzie może ona zostać rozwiązana na inny cel. Gdy dostarczanie załączników akceptuje nazwę hosta pod wpływem zdalnym, atakujący może użyć DNS rebinding, aby zmusić NAS do pobrania prywatnego lub zabronionego zasobu i zwrócenia jego zawartości do rozmowy (SSRF).

OpenClaw (pakiet npm 'openclaw') przed 2026.8.1 nie egzekwuje poprawnie polityk narzędzi na czat dla narzędzi runtime Codex app-server. Reguła tools.allow na poziomie rozmowy filtrowała narzędzia OpenClaw, ale nie ograniczała narzędzi shell, process, file i patch należących do runtime Codex. Gdy rozmowa o niższym zaufaniu została przypisana do runtime Codex i ograniczona listą dozwolonych narzędzi na czat, uczestnik mogący wywołać tego agenta mógł nadal uzyskać dostęp do natywnych narzędzi poleceń i plików, omijając skonfigurowaną listę dozwolonych.

OpenClaw dla iOS w wersjach >= 2026.7.1 i < 2026.8.11 nie egzekwuje zapisanych przypięć TLS Gateway w Control UI. Podczas gdy połączenia natywne egzekwowały zapisany odcisk palca Gateway, uwierzytelnione widoki Terminal i session Dashboard WebViews go pomijały. Jeśli użytkownik zaakceptował odcisk palca Gateway, atakujący mogący przekierować ten sam host i port oraz przedstawić inny certyfikat akceptowany przez zaufanie systemowe iOS może podać zastępczą stronę Control UI; otwarcie Terminala lub session Dashboard pozwala tej stronie odczytać wstrzyknięty token lub hasło Gateway.