Tóm tắt nhanh
- CVE-2026-32051 là lỗ hổng mức CAO (CVSS 8.8) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.42%, cao hơn 36.3% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.3.1 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.3.1
| 2026.3.1
|
| openclaw npm | < 2026.3.1
| 2026.3.1
|
Mô tả
Summary
An authorization mismatch allowed authenticated callers with operator.write access to invoke owner-only tool surfaces (gateway, cron) through agent runs in scoped-token deployments.
Impact
On affected deployments, write-scoped callers could perform control-plane actions beyond intended write scope.
Fix
Owner-only gating is now enforced consistently for owner-only tool surfaces during agent execution, and tool scope classification was tightened to remove the privilege mismatch.
Affected and Patched Versions
- Affected:
<= 2026.2.26
- Patched:
2026.3.1
Mô tả của NVD
OpenClaw versions prior to 2026.3.1 contain an authorization mismatch vulnerability that allows authenticated callers with operator.write scope to invoke owner-only tool surfaces including gateway and cron through agent runs in scoped-token deployments. Attackers with write-scope access can perform control-plane actions beyond their intended authorization level by exploiting inconsistent owner-only gating during agent execution.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí