Tdjackey

Existe um problema no analisador de comandos onde novas linhas escapadas interferem na análise da allowlist de execução. Isso permite que atacantes criem entradas contendo novas linhas escapadas para ignorar a validação da allowlist, permitindo a execução de comandos ocultos sem as solicitações de autorização necessárias.

Um problema de leitura de arquivo permite que invasores ignorem guardas de navegação por meio de interações de ato/avaliação do navegador. Isso permite que invasores façam um pivô para a origem local do Chrome DevTools Protocol (CDP) e criem ou leiam páginas `file://` não permitidas, ignorando as restrições de política de navegação direta.

Existe uma falha de bypass de visibilidade de sessão onde a função `session status()` não aplica as restrições configuradas em `tools.sessions.visibility` durante invocações não isoladas (unsandboxed). Isso permite que atacantes invoquem `session status()` sem as restrições de sandbox, ignorando os controles de política de sessão para acessar informações de sessão restritas.

Um problema de execução arbitrária de código existe no modo espelho (mirror mode), que permite que arquivos de sandbox não confiáveis sejam convertidos em hooks de espaço de trabalho (workspace hooks). Atacantes com acesso ao modo espelho podem executar código arbitrário no sistema host durante a inicialização do gateway ao explorar hooks de espaço de trabalho habilitados.

A sanitização insuficiente de variáveis de ambiente em operações de execução de host permite a injeção de variáveis de ambiente maliciosas. O sistema falha ao filtrar variáveis relacionadas a pacotes, registros, Docker, compiladores e substituições de TLS, que podem ser usadas para sobrescrever configurações críticas do sistema e comprometer a integridade da execução do host.

Existe um problema onde os códigos de configuração de bootstrap não estão vinculados às funções e escopos de dispositivo pretendidos durante o emparelhamento. Isso permite que invasores escalem privilégios além de sua função e escopo pretendidos durante o emparelhamento do dispositivo no primeiro uso.

Um problema de auto-lista branca de raízes locais existe na função `appendLocalMediaParentRoots()`. Esta falha permite a leitura arbitrária de arquivos do host iniciada pelo modelo devido à validação inadequada do diretório pai de mídia, o que pode permitir que atacantes exfiltrem credenciais e acessem arquivos sensíveis.

Um arquivo `host-env-security-policy.json` incompleto falha ao restringir variáveis de ambiente de binários do compilador. Isso permite que modelos não confiáveis substituam `CC`, `CXX`, `CARGO BUILD RUSTC` e `CMAKE C COMPILER` por meio de substituições de ambiente. Atacantes com solicitações host-exec aprovadas podem substituir esses binários do compilador para executar código arbitrário durante os processos de compilação.

Um problema de server-side request forgery (SSRF) existe na funcionalidade de download de plugins do marketplace. Isso ocorre devido a chamadas `fetch()` não protegidas, que permitem que atacantes remotos façam requisições de rede arbitrárias para acessar recursos internos ou interagir com serviços externos em nome do sistema afetado.

Um problema de injeção de variáveis de ambiente ocorre porque o software carrega o arquivo .env do diretório de trabalho atual antes da configuração de state-dir confiável. Isso permite que o estado de um workspace não confiável injete valores de ambiente do host. Um invasor pode colocar um arquivo .env malicioso em um repositório ou workspace para sobrescrever a configuração de tempo de execução e configurações de ambiente sensíveis à segurança durante a inicialização, potencialmente levando ao controle da configuração e ignorando a política de host-env. O problema está localizado nos componentes `src/infra/dotenv.ts` e `src/cli/dotenv.ts`.

A sanitização incompleta de variáveis de ambiente do host em `host-env-security-policy.json` e `host-env-security.ts` permite a sobreposição do ambiente do gerenciador de pacotes. Isso permite que invasores utilizem solicitações de execução aprovadas para redirecionar a resolução de pacotes ou a inicialização do tempo de execução para infraestruturas sob seu controle, levando à execução de conteúdo trojanizado.

Existe um bypass de autorização nos comandos de aprovação de texto do Discord, afetando especificamente o comando '/approve'. Este problema permite que usuários autorizados a enviar comandos, mas que não estão incluídos na allowlist `channels.discord.execApprovals.approvers`, resolvam solicitações de execução de host pendentes. A falha está localizada nos componentes `extensions/discord/src/exec-approvals.ts` e `src/auto-reply/reply/commands-approve.ts`.

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões 2026.3.22 e anteriores Descrição As versões OpenClaw 2026.3.22 e anteriores contêm uma questão de autorização incorreta no endpoint ''POST /reset-profile''. Chamadores autenticados com acesso `operator.write` ao `browser.request` podem ignorar as restrições de mutação do perfil. Atacantes podem invocar ''POST /reset-profile'' através da superfície `browser.request` para parar o navegador em execução, fechar as conexões do Playwright e mover os diretórios de perfil para a Lixeira. A vulnerabilidade é devido à função `isPersistentBrowserProfileMutation()` não classificar ''POST /reset-profile'' como uma mutação protegida, permitindo o acesso através da superfície `browser.request`. Os caminhos vulneráveis incluem `src/gateway/method-scopes.ts:114`, `src/gateway/server-methods/browser.ts:155-165`, `src/browser/request-policy.ts:19-25`, `src/browser/routes/basic.ts:161-170`, `src/browser/server-context.reset.ts:37-63` e `src/node-host/invoke-browser.ts:240-243`. Recomendações Estenda o classificador de mutação de perfil persistente para incluir ''POST /reset-profile''. Reutilize a mesma classificação de rota centralizada em todos os lugares onde a versão atualmente depende de `isPersistentBrowserProfileMutation(...)`, incluindo `src/gateway/server-methods/browser.ts` e `src/node-host/invoke-browser.ts`. Adicione cobertura de regressão com um controle de negação para ''POST /reset-profile'' na superfície `browser.request` de menor privilégio e um controle de permissão para leituras de perfil do navegador que não são mutáveis. Revise as rotas de gerenciamento de perfil próximas para quaisquer outros endpoints de alteração de estado que ainda estejam omitidos do classificador de mutação.

Versões do OpenClaw anteriores a 2026.3.24 contêm verificações de autorização ausentes nos manipuladores de comando de chat `/send` e `/allowlist`. O comando `/send` permite que remetentes autorizados por comando que não são proprietários modifiquem as configurações de política de entrega de sessão somente para proprietários. Os comandos de mutação `/allowlist` não aplicam o escopo operator.admin. Atacantes com escopo operator.write podem usar `/send on|off|inherit` para alterar persistentemente a `sendPolicy` da sessão atual e usar `/allowlist add` para modificar entradas da lista de permissões sem a devida autorização.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.25 Description As versões do OpenClaw anteriores a 2026.3.25 são suscetíveis a um ataque de negação de serviço. O software analisa corpos de solicitação JSON antes de validar assinaturas de webhook, o que permite que invasores não autenticados acionem operações de análise que consomem muitos recursos. Os invasores podem enviar solicitações de webhook maliciosas para esgotar os recursos do servidor forçando a análise de JSON antes da rejeição da assinatura. Recommendations Atualize para a versão 2026.3.25 ou posterior.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22 Description As versões do OpenClaw anteriores a 2026.3.22 não aplicam corretamente o escopo operator.admin em comandos de chat ACP internos de mutação, o que permite modificações não autorizadas. Atacantes sem privilégios de administrador podem ignorar as portas de autorização invocando diretamente os comandos ACP afetados para executar ações de plano de controle de mutação. Recommendations Atualize para a versão 2026.3.22 ou posterior.

Name of the Vulnerable Software and Affected Versions OpenClaw versões anteriores a 2026.3.22 Description OpenClaw antes da versão 2026.3.22 contém uma vulnerabilidade de substituição de rota de caminho webhook na extensão Synology Chat. Isso permite que invasores colapsem configurações de várias contas em caminhos webhook compartilhados. Os invasores podem explorar caminhos webhook herdados ou duplicados para ignorar as políticas de controle de acesso de mensagens diretas por conta e substituir a propriedade da rota entre as contas. Recommendations Atualize o OpenClaw para a versão 2026.3.22 ou posterior.

The software contains a command injection issue within the Lobster extension’s Windows shell fallback mechanism. This allows local operators to execute arbitrary commands. The issue occurs when spawn failures trigger shell fallback with shell set to true, causing arguments provided by the tool to be interpreted by cmd.exe, which enables command injection through parameters controlled by the workflow.

The software contains a local command injection issue in the Windows scheduled task script generation. An attacker can execute arbitrary commands by injecting cmd metacharacters into arguments of the `gateway.cmd` script. An attacker who controls the service script generation values can inject unescaped metacharacters or expansion-sensitive characters to achieve unintended command execution within the scheduled task context.

The software contains a flaw where the approval process can be bypassed, potentially allowing unauthorized binary execution. Specifically, the `system.run` function fails to properly bind executable identity when handling non-path-like arguments in `argv[0]`. This allows an attacker to modify the PATH resolution after approval, leading to the execution of a different binary than the one initially approved by the operator.