CVE-2026-33574

Orta

Açıklama

2026.3.8 sürümünden önceki OpenClaw, araçlar kök dizinini sözcükle doğrulayan ancak arşiv indirme ve kopyalama işlemleri sırasında değiştirilebilir yolu yeniden kullanan beceri indirme yükleyicisinde bir yol aşımı (path traversal) zafiyeti içermektedir. Yerel bir saldırgan, yükleyiciyi hedeflenen araçlar dizininin dışına yönlendirmek için doğrulama ile nihai yazma işlemi arasında tools-root yolunu yeniden bağlayabilir.

ÖnemOrta

CVSS6.2

İstismar olasılığı—

ÜrünOpenclaw

Yayın29 Mar 2026

İlk görülme29 Mar 2026

Zayıflık türüCWE-367CWE-367

Nasıl düzeltilir

Güncelleyin

openclaw openclaw2026.3.8 ya da sonraki bir sürüm
openclaw2026.3.8 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/9abf014f3502009faf9c73df5ca2cff719e54639

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-vhwf-4x96-vqx2

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v < 2026.3.8	2026.3.8
openclawnpm	v < 2026.3.8	2026.3.8

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.