Tóm tắt nhanh
- CVE-2026-45003 là lỗ hổng mức TRUNG BÌNH (CVSS 5.0) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.10%, cao hơn 1.1% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.4.22 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.4.22
| 2026.4.22
|
| openclaw npm | < 2026.4.22
| 2026.4.22
|
Mô tả
Summary
Workspace dotenv files cannot override connector endpoint hosts.
Affected Packages / Versions
- Package: openclaw (npm)
- Affected versions: <= 2026.4.21
- Fixed version: 2026.4.22
Impact
A workspace .env file could set connector endpoint variables for Matrix, Mattermost, IRC, or Synology-related connectors and redirect runtime traffic away from the operator-configured endpoint.
Fix
Workspace .env loading now blocks those endpoint variables, including per-account Matrix homeserver suffixes and generic base-url/API-host style overrides. Trusted global runtime dotenv loading remains separate.
Fix Commit(s)
- 0623079e98abf7202591f1b04a89755eb7ec9272
Verification
- The fix commit is contained in the public v2026.4.22 tag.
- [email protected] is published on npm and the compiled package contains the fix.
- Focused regression coverage for this path passed before publication.
OpenClaw thanks @qi-scape for reporting.
Mô tả của NVD
OpenClaw before 2026.4.22 allows workspace dotenv files to override connector endpoint hosts for Matrix, Mattermost, IRC, and Synology connectors. Attackers with workspace access can redirect runtime traffic to malicious endpoints by setting endpoint variables in dotenv files.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí