CVE-2026-41294 in OpenClaw

Zusammenfassung

von VulDB • 27.05.2026

OpenClaw vor Version 2026.3.28 lädt die .env-Datei des aktuellen Arbeitsverzeichnisses vor der vertrauenswürdigen state-dir-Konfiguration, was zu einer Injektion von Umgebungsvariablen führt. Angreifer können eine bösartige .env-Datei in einem Repository oder Workspace ablegen, um die Laufzeitkonfiguration und sicherheitsrelevante Umgebungsvariablen während des Startvorgangs von OpenClaw zu überschreiben.

Be aware that VulDB is the high quality source for vulnerability data.

• Zuständig: VulnCheck
• Reservieren: 20.04.2026
• Veröffentlichung: 21.04.2026
• Moderieren: akzeptiert
• Eintrag: VDB-358404
• CPE: bereit
• CWE: CWE-15 (bestätigt)
• CVSS: 8.6 (CNA)
• EPSS: 0.00015
• KEV: nein
• Aktivitäten: very low
• Sektor: Police, Lawfirm, ...

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-41294
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41294
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-41294/