Tóm tắt nhanh
- CVE-2026-22169 là lỗ hổng mức TRUNG BÌNH (CVSS 6.7) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.21%, cao hơn 10.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.2.22 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.2.22
| 2026.2.22
|
| openclaw npm | < 2026.2.22
| 2026.2.22
|
Mô tả
When sort is explicitly added to tools.exec.safeBins (non-default), the --compress-program option can invoke an external helper and bypass the intended safe-bin approval constraints in allowlist mode.
Affected Packages / Versions
- Package:
openclaw (npm)
- Vulnerable versions:
<=2026.2.21-2
- Latest published npm version checked during triage:
2026.2.21-2 (as of February 22, 2026)
- Patched in planned next release:
2026.2.22
Fix Commit(s)
57fbbaebca4d34d17549accf6092ae26eb7b605c
Release Process Note
patched_versions is pre-set to the planned next release (>=2026.2.22). Once that npm release is published, the advisory can be published directly.
OpenClaw thanks @tdjackey for reporting.
Mô tả của NVD
OpenClaw versions prior to 2026.2.22 contain an allowlist bypass vulnerability in the safeBins configuration that allows attackers to invoke external helpers through the compress-program option. When sort is explicitly added to tools.exec.safeBins, remote attackers can bypass intended safe-bin approval constraints by leveraging the compress-program parameter to execute unauthorized external programs.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí