OpenClaw 2.0.0-beta3 < 2026.2.14 - Chargement arbitraire de modules JavaScript via une vulnérabilité de parcours de chemin dans la transformation de hook

L'exploitation réussie de cette vulnérabilité permet à un attaquant d'injecter et d'exécuter du code JavaScript malveillant au sein de l'environnement OpenClaw. Le paramètre hooks.mappings[].transform.module accepte des chemins absolus et des séquences de traversal, ce qui permet de contourner les contrôles de sécurité. L'attaquant, ayant un accès en écriture à la configuration, peut ainsi charger et exécuter des modules malveillants avec les privilèges du processus gateway. Cela peut conduire à la compromission complète du système, incluant le vol de données sensibles, la modification de configurations et l'exécution de commandes arbitraires sur le serveur. Bien que l'exploitation nécessite un accès en écriture à la configuration, la gravité élevée de la vulnérabilité souligne le risque potentiel de compromission.

Organizations and individuals using OpenClaw, particularly those with publicly accessible instances or those who allow external users to modify configuration files, are at risk. Environments where OpenClaw is integrated with other systems or services are also at increased risk due to the potential for lateral movement.

• javascript: Examine OpenClaw configuration files for suspicious entries in the hooks.mappings[].transform.module parameter, particularly those containing absolute paths or traversal sequences (e.g., ../). • javascript: Monitor OpenClaw logs for errors or warnings related to module loading failures, which could indicate an attempted exploitation. • javascript: Use a debugger to step through the hook transform module loading process and identify any unexpected file access patterns.

1. 2026-03-05Disclosure

   disclosure

1. Réservé2026-02-27
2. Publiée2026-03-05
3. Modifiée2026-03-11
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour OpenClaw vers la version 2026.2.14 ou ultérieure, qui corrige la vulnérabilité. En attendant la mise à jour, il est fortement recommandé de restreindre l'accès en écriture à la configuration d'OpenClaw. Si une mise à jour immédiate n'est pas possible, examinez attentivement les permissions des utilisateurs ayant accès à la configuration et limitez-les au strict minimum nécessaire. Il n'existe pas de règles WAF ou de configurations spécifiques pour atténuer cette vulnérabilité sans mise à jour, mais une surveillance accrue des accès à la configuration est conseillée. Après la mise à jour, vérifiez que les modules de hooks sont chargés à partir de sources fiables et que les chemins d'accès sont correctement validés.