CVE-2026-25157
Açıklama
OpenClaw kişisel bir yapay zeka asistanıdır. 2026.1.29 sürümünden önce, sshNodeCommand içerisindeki Project Root Path üzerinden bir OS komut enjeksiyonu zafiyeti bulunmaktadır. sshNodeCommand fonksiyonu, bir hata mesajındaki kullanıcı tarafından sağlanan proje yolunu uygun şekilde kaçırmadan (escaping) bir kabuk betiği oluşturmaktaydı. cd komutu başarısız olduğunda, kaçırılmamış yol doğrudan bir echo ifadesine eklenmekte ve bu durum uzak SSH ana makinesinde rastgele komut çalıştırılmasına izin vermekteydi. parseSSHTarget fonksiyonu, SSH hedef dizelerinin tire işaretiyle başlayamayacağını doğrulamamaktaydı. Saldırgan tarafından sağlanan -oProxyCommand=... gibi bir hedef, bir ana bilgisayar adı yerine SSH yapılandırma bayrağı olarak yorumlanmakta ve yerel makinede rastgele komut çalıştırılmasına olanak tanımaktaydı. Bu sorun 2026.1.29 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- openclaw openclaw2026.1.29 ya da sonraki bir sürüm
- clawdbot2026.1.29 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openclaw openclaw | v < 2026.1.29 | 2026.1.29 |
| clawdbotnpm | v < 2026.1.29 | 2026.1.29 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.