Oxsignal

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões 2026.5.12 a 2026.5.25 **Description** Um problema de autorização incorreta existe no recurso `allowFrom` do ClickClack. Quando este recurso está habilitado e acessível, um chamador de menor confiança ou um caminho de entrada configurado pode executar ou persistir ações que excedem os níveis de autorização pretendidos, o que pode incluir a execução de comandos não incluídos na lista de permissões (allowlist). **Recommendations** Atualize o OpenClaw para a versão 2026.5.26. Como mitigação temporária, desative o recurso `allowFrom` no ClickClack para evitar a execução de comandos não autorizados.

**Nome do Software Vulnerável e Versões Afetadas** Open WebUI versões anteriores a 0.9.6 **Descrição** Um usuário autenticado pode anexar valores de `file id` arbitrários às suas próprias mensagens de chat porque o sistema não verifica se o usuário possui ou tem acesso de leitura a esses arquivos. Ao compartilhar o chat e conceder a si mesmo acesso de leitura, a função `has access to file()` trata incorretamente o arquivo da vítima como acessível. Isso permite que um invasor leia o arquivo de uma vítima através do endpoint 'GET /api/v1/files/{id}/content' ou o exclua através do endpoint 'DELETE /api/v1/files/{id}'. Além disso, o ramo de autorização de chat compartilhado ignora o `access type`, o que significa que um usuário com permissão apenas de leitura em um chat compartilhado legitimamente pode excluir arquivos anexados a esse chat. **Recomendações** Atualize para a versão 0.9.6 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints 'GET /api/v1/files/{id}/content' e 'DELETE /api/v1/files/{id}' apenas a administradores autorizados.