Yetval

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw for iOS versões anteriores a 2026.8.11 **Description** O aplicativo armazena credenciais de Gateway como JSON em texto simples no App Group UserDefaults em vez de utilizar o Keychain seguro do dispositivo. Isso permite que invasores com acesso a backups de dispositivos não criptografados ou contêineres de App Group extraídos recuperem tokens e senhas de Gateway válidos, permitindo a autenticação com autoridade de operador. **Recommendations** Atualize o OpenClaw for iOS para a versão 2026.8.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** openclaw versões anteriores a 2026.7.1 **Description** O software não impõe o requisito de exclusividade do proprietário para alterações persistentes de política através do endpoint `/activation` em canais de grupo. Isso permite que um remetente autorizado que não seja o proprietário modifique se o agente requer ativação baseada em menção. Tal ação pode levar o agente a responder de forma mais ampla ao tráfego do grupo ou a suprimir o comportamento de ativação esperado. **Recommendations** Atualize para a versão 2026.7.1.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.7.1 **Description** Existe uma falha de bypass de autorização no endpoint '/export-trajectory', permitindo que remetentes que não são proprietários solicitem e recebam pacotes de trajetória destinados apenas ao proprietário. Isso ocorre devido a verificações de autorização insuficientes, permitindo que atacantes acessem prompts, mensagens de modelo, esquemas de ferramentas, eventos de tempo de execução e metadados de caminho local de sessões afetadas. **Recommendations** Atualize para a versão 2026.7.1 ou posterior. Restrinja o acesso ao endpoint '/export-trajectory' como uma medida de mitigação temporária.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.7.1 **Descrição** Existe uma falha de bypass de autorização no comando de exportação de diagnósticos. Esta falha permite que remetentes de canais que não sejam proprietários acessem pacotes de diagnóstico do host reservados para proprietários, permitindo que solicitem e recebam detalhes sensíveis sobre o host, configuração, runtime e serviços conectados. **Recomendações** Atualize para a versão 2026.7.1.

**Nome do Software Vulnerável e Versões Afetadas** OpenClaw versões anteriores a 2026.7.1 **Descrição** A autorização insuficiente para usuários que não são proprietários permite a execução de alterações de configuração de MCP através dos endpoints '/mcp set' e '/mcp unset'. Esta falha permite que atacantes persistam comandos MCP stdio arbitrários que são executados com privilégios de processo do OpenClaw durante o carregamento da configuração, podendo comprometer a confidencialidade, integridade e disponibilidade do host. **Recomendações** Atualize para a versão 2026.7.1 ou posterior.