OpenClaw < 2026.3.11 - सेशन सैंडबॉक्स एस्केप सेशन_स्टेटस टूल के माध्यम से

OpenClaw में CVE-2026-32918 आंतरिक टूल session_status को प्रभावित करता है, जो सत्र दृश्यता सीमाओं को ठीक से लागू नहीं करता था। एक सैंडबॉक्स किए गए सब-एजेंट दूसरे सत्र का sessionKey प्रदान कर सकता है और अपने स्वयं के सैंडबॉक्स दायरे से बाहर की स्थिति का निरीक्षण या संशोधित कर सकता है। यह एक महत्वपूर्ण सुरक्षा जोखिम है, क्योंकि एक दुर्भावनापूर्ण सब-एजेंट संवेदनशील जानकारी तक पहुंच सकता है या अन्य सत्रों के व्यवहार को बदल सकता है।

Applications and services relying on openclaw for sandboxing and session management are at risk. This includes systems where subagents are used to extend the functionality of the main application, particularly those handling sensitive user data or financial transactions. Organizations using legacy openclaw configurations or those with limited resources for timely patching are particularly vulnerable.

• nodejs:

  npm list openclaw

This command will list installed openclaw versions. Check if the version is <= 2026.3.8. • nodejs:

  find / -name "openclaw*" -type d -print

This command searches for openclaw related directories, which may indicate installation locations. • generic web: Review openclaw logs for unusual session activity or attempts to access data outside the expected scope. Look for patterns indicative of a sandboxed subagent attempting to access other session keys.

1. 2026-03-13Disclosure

   disclosure

1. आरक्षित2026-03-16
2. प्रकाशित2026-03-13
3. संशोधित2026-04-01
4. EPSS अद्यतन2026-04-06

इस जोखिम को कम करने के लिए, OpenClaw को संस्करण 2026.3.11 या बाद के संस्करण में अपडेट करने की अनुशंसा की जाती है। इस संस्करण में एक फिक्स शामिल है जो सत्र दृश्यता सीमाओं के प्रवर्तन को मजबूत करता है, जिससे अन्य सत्र डेटा तक अनधिकृत पहुंच को रोका जा सकता है। इसके अतिरिक्त, अपने संचालन के लिए आवश्यक संसाधनों तक पहुंचने के लिए सैंडबॉक्स किए गए सब-एजेंट के कॉन्फ़िगरेशन की समीक्षा करें, जिससे हमले की सतह कम हो जाएगी। अपडेट सबसे प्रभावी समाधान है और इसकी दृढ़ता से अनुशंसा की जाती है।