CVE-2026-35619

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.24

Descrição OpenClaw contém uma falha de bypass de autorização no endpoint HTTP '/v1/models'. O endpoint não impõe os requisitos de escopo de leitura do operador, permitindo que invasores com apenas o escopo 'operator.approvals' enumerem metadados do modelo do gateway. Isso ignora as verificações de autorização WebSocket RPC mais rigorosas. A rota de compatibilidade HTTP permite o acesso a metadados do modelo sem o escopo 'operator.read' necessário, criando uma inconsistência entre as superfícies WebSocket RPC e HTTP.

Recomendações Atualize para a versão 2026.3.24 ou posterior.