Sean Nejad

Os tipos de filtro BSim concatenam valores fornecidos pelo usuário diretamente em consultas SQL sem escape ou parametrização, resultando em uma injeção de SQL. Isso permite que atacantes remotos injetem SQL arbitrário por meio do protocolo de consulta de rede BSim para ler, modificar ou excluir dados no banco de dados PostgreSQL.

Um problema de injeção de SQL existe na função `changePassword()` do PostgresFunctionDatabase. O sistema falha ao escapar aspas duplas em nomes de usuário que são interpolados em instruções ALTER ROLE. Atacantes autenticados podem explorar isso enviando parâmetros de nome de usuário manipulados em mensagens de rede PasswordChange para executar comandos SQL arbitrários, permitindo a escalada de privilégios para superusuário do PostgreSQL e o controle total do banco de dados.

Existe um bypass de autenticação na função `PKIAuthenticationModule.authenticate()`. Este problema permite que qualquer usuário com um certificado assinado por uma CA válida se passe por outros usuários ao apresentar seu certificado público com uma assinatura nula. A exploração bem-sucedida pode levar à escalada de privilégios, modificação de controles de acesso ao repositório, exfiltração de bancos de dados de engenharia reversa compartilhados e comprometimento permanente da integridade do servidor.

O IsfServer aceita conexões TCP e passa strings de namespace fornecidas pelo cliente diretamente para operações de sistema de arquivos sem validação, resultando em um path traversal não autenticado. Atacantes remotos podem se conectar à porta '54321' e enviar mensagens protobuf manipuladas contendo sequências de travessia para enumerar caminhos do sistema de arquivos e sondar arquivos arbitrários.

OpenClaw versions prior to 2026.2.23 contain an HTML injection issue in the HTML session exporter. This allows attackers to execute arbitrary JavaScript by injecting malicious `mimeType` values in image content blocks. Attackers can craft session entries with specially designed `mimeType` attributes that escape the `img src` data-URL context, leading to cross-site scripting (XSS) when the exported HTML is opened. The issue resides in the `src/auto-reply/reply/export-html/template.js` file, specifically at lines 1032 and 1306, where the `img.mimeType` is interpolated directly into `<img src="data:...">` attributes without proper validation or escaping. A crafted `mimeType` value, such as `x" onerror="alert(1)"`, can break out of the attribute context and execute arbitrary JavaScript. The vulnerability requires the attacker to control image entries in session data.

OpenClaw contains a path traversal issue in the Feishu media download process. Untrusted media keys are directly used in constructing temporary file paths within the `extensions/feishu/src/media.ts` file. An attacker controlling the Feishu media key values returned to the client can utilize traversal segments to bypass the `os.tmpdir()` directory and write arbitrary files with the permissions of the OpenClaw process. The issue stems from the direct interpolation of untrusted input (`imageKey` / `fileKey`) into file paths. This allows for manipulation of the path, potentially leading to file writes outside the intended temporary directory.

The software constructs RegExp objects directly from unescaped Feishu mention metadata within the `stripBotMention` function. This allows for potential regex injection and denial of service. Attackers can craft patterns with nested quantifiers or metacharacters in mention metadata to trigger catastrophic backtracking, potentially blocking message processing or removing unintended content before model processing. The vulnerable code resides in the `extensions/feishu/src/bot.ts` file, specifically when creating a `new RegExp()` from `mention.name` and `mention.key` without proper escaping of regex metacharacters.

OpenClaw versions prior to 2026.2.19 contain a command injection issue in the Lobster extension tool execution. This occurs due to the use of a Windows shell fallback mechanism with `shell: true` after process creation failures. Attackers can inject shell metacharacters into command arguments, potentially executing arbitrary commands when the subprocess launch fails with `EINVAL` or `ENOENT` errors. The issue resides in the `extensions/lobster/src/lobster-tool.ts` file, where the tool retries subprocess launch with `shell: true` on Windows for specific errors. The fix removes the shell fallback and uses explicit executable/script argv execution.