CVE-2026-28482 in OpenClaw
Zusammenfassung
von VulDB • 05.06.2026
In OpenClaw-Versionen vor 2026.2.12 werden Transkript-Dateipfade unter Verwendung von nicht bereinigten `sessionId`-Parametern und `sessionFile`-Pfadangaben konstruiert, wobei die Einhaltung der Verzeichnisbegrenzung (Directory Containment) nicht erzwungen wird. Authentifizierte Angreifer können Pfadtraversierungssequenzen wie `../../etc/passwd` in den Parametern `sessionId` oder `sessionFile` ausnutzen, um beliebige Dateien außerhalb des Agent-Sitzungsverzeichnisses zu lesen oder zu schreiben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.