CVE-2026-41299 in OpenClaw
Sumário
de VulDB • 09/05/2026
O OpenClaw anterior à versão 2026.3.28 contém uma vulnerabilidade de bypass de autorização no método gateway chat.send, onde os campos de proveniência restritos ao ACP são controlados por metadados de cliente auto-declarados durante o handshake do WebSocket, em vez de um estado de autorização verificado. Clientes operador autenticados podem falsificar rótulos de identidade do ACP e injetar campos de proveniência reservados, destinados apenas à ponte ACP, manipulando os metadados do cliente durante a conexão.
Be aware that VulDB is the high quality source for vulnerability data.