Edward-X

Uma falha na lógica de autenticação de webhook permite que usuários não autenticados acionem a execução de qualquer fluxo. O sistema ignora incorretamente a validação da chave de API quando a configuração `WEBHOOK AUTH ENABLE` está definida como False, que é a configuração padrão. Um invasor remoto que conheça o UUID de um fluxo pode executá-lo como se fosse o proprietário, levando potencialmente à Execução Remota de Código (RCE), um estado onde um invasor pode executar comandos arbitrários na máquina hospedeira.

Existe uma falha de bypass de autorização no recurso de loopback do MCP. Este problema permite que chamadores com menor nível de confiança executem ferramentas reservadas ao proprietário através de caminhos de entrada configurados, possibilitando a execução ou persistência de ações que excedem as permissões pretendidas do chamador.

Existe uma falha de bypass de autorização onde IDs de grupos do WhatsApp podem satisfazer listas de permissão de remetentes elevadas. Isso permite que atacantes com acesso de menor confiança realizem ações que exigem autorização mais forte, aproveitando a validação de ID de grupo.

O analisador HTML incremental `html.parser.HTMLParser` contém um problema que permite a negação de serviço de CPU ao processar dados não controlados. A causa raiz é o tratamento inadequado de entrada que leva a um comportamento de análise patológico, especificamente complexidade algorítmica e exaustão de recursos, quando as declarações de marcação são repetidamente deixadas sem terminação. Um invasor pode explorar isso fornecendo HTML manipulado para qualquer serviço ou pipeline que utilize o `HTMLParser`, o que pode resultar na exaustão dos núcleos de CPU e na degradação ou falha completa das aplicações afetadas.

Existe uma falha de bypass na política de remetente no BlueBubbles, onde participantes podem corresponder a entradas de lista de permissões (allowlist) usando metadados de conversa em vez de uma identidade de remetente estável. Atacantes capazes de influenciar identificadores ao nível da conversa podem receber respostas de agentes destinadas a remetentes configurados, o que pode levar à evasão de controles de acesso.

Uma falha de bypass de notificação permite que eventos de reação do Slack entrem no pipeline do agente, mesmo quando as notificações de reação estão desativadas. Isso pode desencadear o processamento não intencional do agente para eventos de reação, levando potencialmente ao processamento não autorizado de entradas de menor confiança. Este problema ocorre quando o recurso afetado está habilitado e acessível.

Existe um bypass de allowlist no processamento de comandos inline do shell. Uma solicitação de comando que utilize formas de comando inline do shell pode ser roteada através de um caso de processamento que ignora a decisão de allowlist esperada, permitindo que operadores autenticados executem conteúdo de shell não aprovado sem os prompts de aprovação pretendidos.

Um problema de divulgação de informações existe em servidores MCP streamable-http que encaminha cabeçalhos personalizados configurados pelo operador durante redirecionamentos de origem cruzada (cross-origin). Atacantes que controlam ou comprometem um endpoint MCP podem redirecionar solicitações para exfiltrar cabeçalhos sensíveis, como chaves de API ou credenciais de roteamento de locatário, para origens controladas pelo atacante. Isso ocorre em implantações onde um servidor MCP é configurado com `transportType: "streamable-http"` e cabeçalhos personalizados sensíveis em `mcp.servers.*.headers`. O problema é limitado a servidores MCP Streamable HTTP configurados que usam cabeçalhos personalizados e não expõe credenciais não relacionadas.

O HTML de sessão exportado preserva links `javascript:` e `data:` inseguros no conteúdo gerado. Isso permite a execução de scripts no lado do navegador se um operador confiável abrir o arquivo exportado e ativar um link malicioso. O impacto depende da configuração do operador e se entradas de menor confiança podem alcançar o caminho afetado.

Um problema de replay de token de bootstrap permite que chamadores com acesso a um token de bootstrap pendente o reutilizem antes da aprovação com um escopo solicitado mais amplo. Isso pode levar à escalada da autoridade de emparelhamento além dos limites de escopo pretendidos. O impacto depende da configuração do operador e se entradas de menor confiança podem alcançar o caminho afetado.

Um problema de mutação de estado existe no processo de reconexão de emparelhamento de nós. Isso permite que nós emparelhados confundam as decisões de escopo de aprovação, permitindo que atacantes explorem a lógica de reconexão para restaurar ou apresentar uma autoridade de nó mais ampla do que a pretendida, o que pode levar à evasão de restrições de aprovação.

Existe um bypass de allowlist no processamento de comandos codificados do PowerShell. Operadores remotos autenticados podem evadir os controles de segurança utilizando aliases de flags abreviadas que não são reconhecidos pelo parser da allowlist, permitindo a execução de conteúdo arbitrário do PowerShell.

Um problema de análise de opções de shell permite que flags de shell POSIX combinadas ignorem as verificações de revalidação de exec. Isso permite que atacantes executem conteúdo de shell inline sem a validação de allowlist pretendida, potencialmente levando à execução de comandos não autorizados quando o recurso afetado está habilitado.

Um problema de injeção de variável de ambiente existe no executor do backend CLI. Atacantes podem usar configurações de workspace maliciosas para injetar variáveis de ambiente arbitrárias na geração do processo de backend, o que pode levar à execução de código ou à exposição de dados sensíveis.

Um bypass de consentimento agêntico permite que agentes de LLM desativem silenciosamente a aprovação de execução. Atacantes remotos podem explorar isso usando o parâmetro `config.patch` para ignorar controles de segurança e executar operações não autorizadas sem o consentimento do usuário.

Nome do Software Vulnerável e Versões Afetadas: OpenClaw versões anteriores a 2026.3.24 Descrição: Versões do OpenClaw anteriores a 2026.3.24 contêm uma correção incompleta para CVE-2026-27486. O comando de chat `!stop` usa uma função `killProcessTree` não corrigida de `shell-utils.ts` que envia `SIGKILL` imediatamente sem um desligamento gracioso `SIGTERM`. Isso pode levar à corrupção de dados, vazamentos de recursos e operações de limpeza de segurança ignoradas. A função vulnerável está localizada em `src/agents/shell-utils.ts` (linhas 170–192) e é chamada pelo manipulador de comando `!stop` em `src/auto-reply/reply/bash-command.ts` (linhas 300-304). O problema surge porque o comando `!stop` importa a função não corrigida em vez da versão corrigida em `src/process/kill-tree.ts`. Uma prova de conceito demonstra que a função vulnerável ignora a sequência de desligamento gracioso, enviando `SIGKILL` diretamente. Isso pode afetar processos que gravam em arquivos, bancos de dados ou executam operações de segurança sensíveis. Recomendações: Atualize para a versão 2026.3.24 ou posterior do OpenClaw.

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.24 Descrição Versões do OpenClaw anteriores a 2026.3.24 contêm uma vulnerabilidade de travessia de caminho em seu mecanismo de aplicação de sandbox. Isso permite que agentes em sandbox leiam arquivos arbitrários dos workspaces de outros agentes, explorando chaves de parâmetros `mediaUrl` ou `fileUrl` não normalizadas. A vulnerabilidade surge da validação incompleta de parâmetros na função `normalizeSandboxMediaParams` e da omissão de `mediaLocalRoots` do contexto de despacho em `handlePluginAction`. Um invasor pode aproveitar isso para acessar arquivos confidenciais, incluindo chaves de API e dados de configuração, fora das raízes de sandbox designadas. A vulnerabilidade permite que um agente em sandbox leia arquivos de outros workspaces de agentes usando a chave de parâmetro `mediaUrl` ou `fileUrl` em chamadas de ferramentas de mensagem. A função `normalizeSandboxMediaParams` verifica apenas as chaves `media`, `path` e `filePath`, enquanto `mediaUrl` e `fileUrl` ignoram a validação. Combinado com `handlePluginAction` que remove `mediaLocalRoots` do contexto de despacho, isso permite uma fuga completa do sandbox, onde qualquer agente pode ler arquivos fora de sua raiz de sandbox designada. Recomendações Atualize para a versão 2026.3.24 ou posterior do OpenClaw.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22 Description OpenClaw é suscetível a um problema de alocação de memória ilimitada no tratamento de erros HTTP de mídia remota. Atacantes podem explorar isso enviando respostas de erro HTTP especialmente criadas com conteúdo grande para endpoints de mídia remota. Isso faz com que o aplicativo aloque uma quantidade excessiva de memória antes que o tratamento de erros possa ocorrer, potencialmente levando à falha do aplicativo. Recommendations Atualize para a versão 2026.3.22 ou posterior.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22 Description Uma falha existe no OpenClaw que permite que invasores ignorem as restrições de vinculação executável. Isso é alcançado por meio do uso indevido de wrappers de tempo dentro da funcionalidade de aprovações system.run. Especificamente, a vulnerabilidade reside na falha ao desembrulhar corretamente os wrappers `/usr/bin/time`, permitindo uma violação da lista de permissões. Os invasores podem reutilizar o estado de aprovação para comandos internos utilizando um wrapper de tempo não registrado. Recommendations Atualize para a versão 2026.3.22 ou posterior.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.2 Description A ferramenta `image` não aplicou totalmente a restrição de limite do sistema de arquivos `tools.fs.workspaceOnly`. Isso permitiu a travessia de montagens de ponte sandbox fora do espaço de trabalho, permitindo a leitura de arquivos que outras ferramentas do sistema de arquivos rejeitariam. Recommendations Atualize para a versão 2026.3.2 ou posterior.