PT-2026-35772

CVE-2026-41387

Publicado

2026-03-31

Atualizado

2026-04-28

Descrição por

CVSS 4.0

8.5

Alta

MétricasAV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.3.22

Descrição A sanitização incompleta de variáveis de ambiente do host em host-env-security-policy.json e host-env-security.ts permite a sobreposição do ambiente do gerenciador de pacotes. Isso permite que invasores utilizem solicitações de execução aprovadas para redirecionar a resolução de pacotes ou a inicialização do tempo de execução para infraestruturas sob seu controle, levando à execução de conteúdo trojanizado.

Recomendações Atualize para a versão 2026.3.22.

Explorabilidade

Exploit

Correção

Pesquisadores

Tdjackey

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-183: Permissive List of Allowed Inputs

Identificadores relacionados

CVE-2026-41387