CVE-2026-32003

Orta

Açıklama

OpenClaw 2026.2.22 öncesi sürümleri, system.run fonksiyonunda saldırganların SHELLOPTS ve PS4 ortam değişkenleri aracılığıyla komut izin listesi kısıtlamalarını atlatmalarına olanak tanıyan bir ortam değişkeni enjeksiyonu zafiyeti içermektedir. İstek kapsamlı ortam değişkenleri ile system.run fonksiyonunu çağırabilen bir saldırgan, bash xtrace genişlemesi yoluyla hedeflenen izinli komut gövdesinin dışında rastgele kabuk komutları çalıştırabilir.

ÖnemOrta

CVSS6.6

İstismar olasılığı—

ÜrünOpenclaw

Yayın19 Mar 2026

İlk görülme19 Mar 2026

Zayıflık türüCWE-78İşletim sistemi komut enjeksiyonu

Nasıl düzeltilir

Güncelleyin

openclaw openclaw2026.2.22 ya da sonraki bir sürüm
openclaw2026.2.22 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/e80c803fa887f9699ad87a9e906ab5c1ff85bd9a

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-2fgq-7j6h-9rm4

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v < 2026.2.22	2026.2.22
openclawnpm	v < 2026.2.22	2026.2.22

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.