PT-2026-31979
CVE-2026-35668
·
تاريخ النشر
2026-03-30
·
تاريخ التحديث
2026-04-10
الوصف من
CVSS 3.1
7.7
عاليةالمقاييسAV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.3.24
الوصف
تحتوي إصدارات OpenClaw السابقة للإصدار 2026.3.24 على ثغرة أمنية تتعلق باجتياز المسار في آلية فرض بيئة الحماية (sandbox). تتيح هذه الثغرة للعوامل الموجودة في بيئة الحماية قراءة ملفات عشوائية من مساحات عمل العوامل الأخرى من خلال استغلال مفاتيح المعلمات
mediaUrl أو fileUrl غير المعيارية. ينشأ هذا الثغرة الأمنية عن عدم اكتمال التحقق من صحة المعلمات في الدالة normalizeSandboxMediaParams وإغفال mediaLocalRoots من سياق الإرسال في handlePluginAction. يمكن للمهاجم استغلال ذلك للوصول إلى الملفات الحساسة، بما في ذلك مفاتيح واجهة برمجة التطبيقات (API) وبيانات التكوين، خارج جذور بيئة الحماية المخصصة. تسمح هذه الثغرة لوكيل يعمل في بيئة الحماية (sandbox) بقراءة الملفات من مساحات عمل الوكلاء الآخرين باستخدام مفتاح المعلمة mediaUrl أو fileUrl في استدعاءات أداة الرسائل. لا تتحقق الدالة normalizeSandboxMediaParams إلا من مفاتيح media وpath وfilePath، بينما يتجاوز كل من mediaUrl وfileUrl عملية التحقق من الصحة. وبالاقتران مع قيام handlePluginAction بإزالة mediaLocalRoots من سياق الإرسال، فإن هذا يتيح الهروب الكامل من بيئة الحماية (sandbox)، حيث يمكن لأي وكيل قراءة الملفات خارج جذر بيئة الحماية المخصصة له.التوصيات
قم بالتحديث إلى إصدار OpenClaw 2026.3.24 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾