CVE-2026-35621 in OpenClaw
الملخص
بحسب VulDB • 27/05/2026
تحتوي الإصدارات السابقة من OpenClaw 2026.3.24 على ثغرة تصعيد امتيازات حيث يفشل الأمر /allowlist في إعادة التحقق من نطاقات عميل البوابة (gateway client scopes) للمدخلين الداخليين، مما يسمح للعملاء الذين يمتلكون نطاق operator.write بتعديل سياسة تفويض القنوات. يمكن للمهاجمين استغلال chat.send لبناء سياق مُصرّح بالأوامر داخلياً وإجراء تغييرات دائمة على سياسات allowFrom للقنوات وgroupAllowFrom، وهي تغييرات محجوزة لنطاق operator.admin.
If you want to get best quality of vulnerability data, you may have to visit VulDB.