PT-2026-38251

CVE-2026-44118

Publicado

2026-04-23

Atualizado

2026-09-11

Descrição por

CVSS 4.0

8.5

Alta

MétricasAV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.4.22

Description O OpenClaw deriva o contexto do proprietário do MCP loopback a partir de tokens bearer emitidos pelo servidor e falsificáveis nos cabeçalhos de requisição. Clientes de loopback que não são proprietários podem ignorar operações restritas ao proprietário manipulando os metadados do cabeçalho sender-owner ou a flag senderIsOwner, permitindo que se apresentem como proprietários e obtenham controle total.

Recommendations Atualizar para a versão 2026.4.22.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Vladimir Tokarev

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-290: Authentication Bypass by Spoofing

CWE-284: Improper Access Control