Qclawer

Existe uma falha de bypass de contenção de escopo no processo de re-emparelhamento de dispositivos. Operadores autenticados podem restaurar ou manter escopos mais amplos do que o pretendido ao enviar solicitações de re-emparelhamento com conjuntos de escopo vazios, o que permite ignorar as guardas de contenção e manter acesso não autorizado ao dispositivo. Este problema ocorre quando o recurso afetado está habilitado e acessível, embora o impacto prático dependa da configuração do operador e da acessibilidade do caminho para entradas de menor confiança.

Um problema na autenticação de comandos internos e de webchat permite que os remetentes herdem o estado de curinga `ownerAllowFrom` através de limites de canal. Isso permite que atacantes enviem comandos em caminhos internos ou de webchat afetados para executar comportamentos de comando do tipo proprietário fora do escopo do canal pretendido, potencialmente ignorando controles de acesso.

A validação insuficiente de escopo no escopo de gravação da Active Memory permite que operadores de Gateway com acesso `operator.write` modifiquem a configuração global. Esta escalada de privilégios permite que usuários apliquem alterações de configuração não autorizadas sem a necessidade de privilégios `operator.admin`.

Existe uma falha de bypass na verificação de visibilidade de sessão na pesquisa de memória compartilhada do recurso memory-wiki. Isso permite que chamadores autenticados ignorem as proteções de visibilidade de sessão no caminho de pesquisa, possibilitando a recuperação de entradas de memória que não deveriam estar visíveis para a sua sessão sem a devida autorização.

Um problema de bypass de hook existe onde comandos de habilidade roteados através de um caminho de despacho específico ignoram a cobertura do `runBeforeToolCallHook`. Isso permite que atacantes enviem comandos de habilidade através do caminho afetado para burlar mecanismos de auditoria e aplicação de políticas baseados em hooks. O impacto depende da configuração do operador e se entradas de menor confiança podem alcançar o caminho vulnerável.

Existe uma falha de bypass na aplicação do escopo de controle no comando focus. Isso permite que chamadores autenticados executem o comando sem as verificações de autorização adequadas, permitindo a alteração do estado de foco fora da autoridade pretendida do chamador. O impacto prático depende da configuração do gateway e se entradas de menor confiança podem alcançar o caminho afetado.

Um problema de validação de entrada existe em chamadores de política de grupo de ferramentas que aceitam IDs de grupo não validados. Um invasor capaz de fornecer um ID de grupo ao resolvedor de políticas poderia desencadear decisões de política de grupo incorretas para invocações de ferramentas, o que pode levar à evasão dos controles de acesso pretendidos. O impacto prático depende da configuração do operador e se entradas de menor confiança podem alcançar o caminho afetado.

O recurso macOS Swift exec contém um bypass de allowlist. O problema ocorre porque o sistema não considera flags de comando inline POSIX combinadas, que são formas abreviadas de agrupar múltiplas opções de linha de comando. Isso permite que atacantes executem conteúdo de shell que ignora as verificações de allowlist pretendidas, potencialmente permitindo a execução de comandos não autorizados, dependendo da configuração do operador.

Um controle de acesso inadequado nos manipuladores de eventos do Mattermost ocorre devido a uma falha na validação dos metadados do tipo de canal. Isso permite que atacantes ignorem as decisões de política de Mensagem Direta (DM) pretendidas, enviando eventos do Mattermost manipulados que carecem de informações sobre o tipo de canal para processar conteúdo restrito.

Existe uma falha de bypass de autorização no processamento de comandos nativos. Isso permite que remetentes autenticados executem comandos exclusivos do proprietário, ignorando os controles de acesso configurados, possibilitando a execução de comandos privilegiados por usuários não autorizados.

Existe uma falha de bypass de autorização nos comandos de barra (slash commands) de pré-despacho do QQBot. Este problema permite que remetentes autenticados ignorem as verificações de política `allowFrom`, permitindo a invocação de comandos de barra antes que as políticas de controle de acesso configuradas sejam aplicadas. Dependendo da configuração do operador, isso pode acionar o processamento de comandos de remetentes que deveriam estar bloqueados.

Existe uma falha de bypass de imposição de configuração nos vínculos de agentes dinâmicos do Feishu. Este problema permite que remetentes autenticados criem ou atualizem vínculos sem respeitar os controles de gravação de configuração (`config-write`) configurados. Ao utilizar o recurso de vínculo de agente dinâmico, um invasor pode alterar o estado do vínculo remetente-agente além da política pretendida, o que pode levar a modificações de vínculo não autorizadas.

Existe uma falha de bypass de autorização em callbacks interativos do Telegram. Usuários autenticados podem ignorar a validação `commands.allowFrom` ao invocar callbacks afetados para se marcarem como remetentes autorizados antes que as verificações de allowlist sejam aplicadas. Isso permite a execução de comportamentos de comando que ignoram as restrições de remetente do Telegram configuradas.

Existe uma falha de bypass de autorização no recurso de loopback do MCP. Isso permite que chamadores que não sejam proprietários ignorem as políticas de ferramentas exclusivas do proprietário e os hooks de pré-chamada de ferramentas. Quando o recurso está habilitado e acessível, atacantes podem usar o caminho de loopback afetado para invocar comportamentos exclusivos do proprietário e executar ferramentas restritas.

Existe uma falha de bypass na política de aprovação no fluxo de aplicação do Skill Workshop. Este problema permite que chamadas de ferramentas de agentes definam a variável `apply` como `true`, mesmo quando a `approvalPolicy` está configurada como `pending`. Um invasor pode acessar o caminho de aplicação afetado para implementar alterações no workshop antes da etapa de aprovação necessária, o que pode levar a modificações de configuração não autorizadas.

Existe um bypass de política na política do executor incorporado (embedded runner policy). Este problema permite que solicitações que utilizam aliases de provedor sejam comparadas com aliases em vez de identidades canônicas de provedor. Quando o recurso afetado está habilitado, essa confusão pode ser explorada para obter acesso a ferramentas integradas que excedem as restrições de política de provedor pretendidas.

Existe uma falha de bypass de autorização na autorização de comandos de controle de sala do Matrix devido à confiança inadequada em entradas do armazenamento de emparelhamento de DM (DM pairing-store). Atacantes com IDs de remetente emparelhados via DM podem executar comandos de controle de sala ao postar em salas de bots, ignorando as listas de permissões configuradas e potencialmente ativando comportamentos privilegiados.

Um problema de classificação de mensagens existe nos callbacks de card-action do Feishu, onde mensagens diretas são identificadas incorretamente como conversas de grupo. Isso permite que atacantes ignorem a aplicação da `dmPolicy` ao disparar fluxos de card-action em conversas de mensagens diretas que deveriam ter sido bloqueadas por políticas restritivas.

O OpenClaw falha ao preservar adequadamente os rótulos não confiáveis para eventos isolados de conscientização de cron. Isso permite que a saída de agentes cron disparados por webhooks seja registrada como eventos de sistema confiáveis. Esse problema de rotulagem de confiança pode ser explorado para fortalecer ataques de injeção de prompt, fazendo com que eventos não confiáveis apareçam como eventos de Sistema confiáveis.

Existe um bypass de guarda nos endpoints do gateway voltados para o agente "config.patch" e "config.apply". Este problema falha em proteger configurações confiáveis do operador, incluindo a política de sandbox, habilitação de plugins, auth/TLS do gateway, roteamento de hooks, configuração do servidor MCP, política de SSRF e endurecimento do sistema de arquivos. Um modelo com injeção de prompt e acesso à ferramenta de gateway exclusiva do proprietário pode persistir alterações não autorizadas nessas configurações protegidas do operador.