PT-2026-44898
CVE-2026-35674
·
Publicado
2026-05-29
·
Atualizado
2026-07-21
Descrição por
CVSS 3.1
8.8
AltaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas
OpenClaw versões anteriores a 2026.5.18
Description
Existe um bypass de escopo no endpoint 'chat.send' do Gateway. Este problema permite que clientes com o escopo
operator.write executem comandos privilegiados utilizando rotas externas herdadas. Este bypass ignora os requisitos dos escopos operator.approvals e operator.admin, permitindo mutações não autorizadas de plugins, configurações, MCP, allowlists e ACP.Recommendations
Atualize para a versão 2026.5.18 ou posterior.
Explorabilidade
Exploit
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾