CVE-2026-35620 in OpenClaw
Сводка
по VulDB • 17.07.2026
В версиях OpenClaw до 2026.3.24 присутствуют уязвимости отсутствия авторизации в обработчиках команд чата /send и /allowlist. Команда /send позволяет отправителям, имеющим разрешение на выполнение команды (command-authorized senders), но не являющимся владельцами (non-owner), изменять настройки политики доставки сессий, доступные только для владельца (owner-only). Команды изменения списка разрешенных (/allowlist mutating commands) не обеспечивают соблюдение области видимости operator.admin. Атакующие с областью видимости operator.write могут вызывать команду /send со значениями on|off|inherit для постоянного изменения политики отправки (sendPolicy) текущей сессии, а также выполнять команды add из группы /allowlist для модификации записей allowFrom в конфигурации и записей списка разрешенных элементов в хранилище паринга без надлежащей административной авторизации.
Be aware that VulDB is the high quality source for vulnerability data.