OpenClaw vulnérable à une traversée de chemin dans la dénomination de fichiers temporaires de médias Feishu, permettant des écritures en dehors de os.tmpdir()

Cette vulnérabilité permet à un attaquant de contourner les contrôles d'accès et d'écrire des fichiers en dehors du répertoire temporaire prévu par OpenClaw (os.tmpdir()). L'attaquant doit être capable de contrôler les clés média Feishu renvoyées au client, par exemple en compromettant le chemin de réponse en amont. Bien que l'écriture soit limitée aux permissions du processus OpenClaw, cela peut conduire à la corruption de données, à l'exécution de code malveillant si des fichiers exécutables sont écrits, ou à la prise de contrôle du système. Cette vulnérabilité est similaire à d'autres failles de traversal de chemin qui ont permis l'exécution de code à distance sur des systèmes compromis.

Organizations using OpenClaw for collaborative knowledge management, particularly those integrated with Feishu for media sharing, are at risk. Shared hosting environments where OpenClaw is deployed alongside other applications may also be vulnerable if the attacker can compromise another application and leverage it to manipulate Feishu media keys.

• nodejs: Monitor OpenClaw logs for requests containing unusual characters in the imageKey or fileKey parameters. Use grep to search for patterns like ../ or ..\ in request URLs.

grep 'imageKey=.*\.\./' /var/log/openclaw/access.log
grep 'fileKey=.*\.\./' /var/log/openclaw/access.log

• generic web: Examine access logs for requests to the media download endpoint with suspicious query parameters. Use curl to test the endpoint with crafted parameters.

curl 'https://your-openclaw-instance/download?imageKey=../../../../etc/passwd' -s

1. 2026-03-03Disclosure

   disclosure

2. 2026-03-03Patch

   patch

1. Réservé2026-01-06
2. Publiée2026-03-03
3. Modifiée2026-03-19
4. EPSS mis à jour2026-03-25

La solution la plus efficace est de mettre à jour OpenClaw vers la version 2026.2.19 ou ultérieure, qui corrige cette vulnérabilité. En attendant, des mesures d'atténuation peuvent être mises en place. Il est crucial de valider et de désinfecter toutes les clés média Feishu avant de les utiliser dans la construction de chemins de fichiers. L'utilisation d'une liste blanche de caractères autorisés dans les clés média peut aider à prévenir les attaques de traversal. Surveillez les journaux d'accès pour détecter des tentatives d'écriture de fichiers en dehors du répertoire temporaire. Si possible, configurez un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des séquences de traversal de chemin.