OpenClaw has a CWD `.env` environment variable injection which bypasses host-env policy and allows config takeover

高 8.6CVE-2026-41294 · GHSA-8rh7-6779-cjqq · 21/04/2026 公開 · 17/06/2026 更新

要点

CVE-2026-41294 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 8.6) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.13%（全脆弱性の 2.6% より高い）。
対処：2026.3.28 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.3.28`	`2026.3.28`
openclaw npm	`< 2026.3.28`	`2026.3.28`

概要

Summary

OpenClaw loaded the current working directory .env before trusted state-dir configuration, allowing untrusted workspace state to inject host environment values.

Impact

A repository or workspace containing a malicious .env file could override runtime configuration and security-sensitive environment settings when OpenClaw started there.

Affected Component

src/infra/dotenv.ts, src/cli/dotenv.ts

Fixed Versions

Affected: <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit 6a79324802 (Filter untrusted CWD .env entries before OpenClaw startup).

NVD の説明

OpenClaw before 2026.3.28 loads the current working directory .env file before trusted state-dir configuration, allowing environment variable injection. Attackers can place a malicious .env file in a repository or workspace to override runtime configuration and security-sensitive environment settings during OpenClaw startup.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw commit 6a79324 · WEB
openclaw/openclaw · PACKAGE
openclaw/openclaw release v2026.3.28 · WEB
vulncheck.com/advisories/openclaw-environment-variable-injection-via-cwd-env-file · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.3.28

2026.3.28