Tóm tắt nhanh
- CVE-2026-41373 là lỗ hổng mức TRUNG BÌNH (CVSS 6.1) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.13%, cao hơn 2.7% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.3.31 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.3.31
| 2026.3.31
|
| openclaw npm | < 2026.3.31
| 2026.3.31
|
Mô tả
Summary
Incomplete host-env-security-policy.json allows untrusted model to substitute compiler binaries (CC, CXX, CARGO_BUILD_RUSTC, CMAKE_C_COMPILER) via env overrides on approved host exec requests
Current Maintainer Triage
- Status: narrow
- Normalized severity: medium
- Assessment: Shipped v2026.3.28 host-env policy missed compiler override vars, but exploitation still requires an approved host-exec request inside the existing exec trust domain, so medium not high.
Affected Packages / Versions
- Package:
openclaw (npm)
- Latest published npm version:
2026.3.31
- Vulnerable version range:
<=2026.3.28
- Patched versions:
>= 2026.3.31
- First stable tag containing the fix:
v2026.3.31
Fix Commit(s)
e277a37f896b5011a1df06e6490c6630074d0afa — 2026-03-30T20:06:32+01:00
OpenClaw thanks @tdjackey for reporting.
Mô tả của NVD
OpenClaw before 2026.3.31 contains an incomplete host-env-security-policy.json that fails to restrict compiler binary environment variables, allowing untrusted models to substitute CC, CXX, CARGO_BUILD_RUSTC, and CMAKE_C_COMPILER via environment overrides. Attackers with approved host-exec requests can override compiler binaries to execute arbitrary code during build processes.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí