Tóm tắt nhanh
- CVE-2026-44997 là lỗ hổng mức TRUNG BÌNH (CVSS 4.3) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.22%, cao hơn 12.8% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.4.22 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.4.22
| 2026.4.22
|
| openclaw npm | < 2026.4.22
| 2026.4.22
|
Mô tả
Summary
ACP child sessions inherit subagent security envelope constraints.
Affected Packages / Versions
- Package: openclaw (npm)
- Affected versions: <= 2026.4.21
- Fixed version: 2026.4.22
Impact
A restricted subagent spawning an ACP child session could fail to carry forward subagent-only constraints such as depth, child-count limits, control scope, or target-agent restrictions.
Fix
ACP spawn now resolves and persists child subagent envelope fields, enforces maximum depth and active-child caps, and applies the inherited control scope to child ACP sessions.
Fix Commit(s)
- 31160dc069b7cc5d833b39c53736a41ad3befda2
Verification
- The fix commit is contained in the public v2026.4.22 tag.
- [email protected] is published on npm and the compiled package contains the fix.
- Focused regression coverage for this path passed before publication.
OpenClaw thanks @zsxsoft, @qclawer, and @KeenSecurityLab for reporting.
Mô tả của NVD
OpenClaw before 2026.4.22 contains a security envelope constraint bypass vulnerability allowing restricted subagents to spawn ACP child sessions that fail to inherit depth, child-count limits, control scope, or target-agent restrictions. Attackers can exploit this by spawning child sessions that bypass subagent-only constraints, potentially escalating privileges or accessing restricted resources.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí