CVE-2026-35620
Açıklama
2026.3.24 öncesindeki OpenClaw, /send ve /allowlist sohbet komutu işleyicilerinde eksik yetkilendirme zafiyetleri içermektedir. /send komutu, sahibi olmayan ancak komut yetkisine sahip göndericilerin yalnızca sahibe özel oturum teslimat politikası ayarlarını değiştirmesine izin verir ve /allowlist mutasyon komutları operator.admin kapsamını zorunlu kılmakta başarısız olur. operator.write kapsamına sahip saldırganlar, mevcut oturumun sendPolicy ayarını kalıcı olarak değiştirmek için /send on|off|inherit komutlarını çağırabilir ve uygun yönetici yetkisi olmadan yapılandırma tabanlı allowFrom girişlerini ve eşleştirme deposu allowlist girişlerini değiştirmek için /allowlist add komutlarını çalıştırabilir.
Nasıl düzeltilir
- openclaw openclaw2026.3.24 ya da sonraki bir sürüm
- openclaw2026.3.24 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openclaw openclaw | v < 2026.3.24 | 2026.3.24 |
| openclawnpm | v < 2026.3.24 | 2026.3.24 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.