OpenClaw < 2026.2.17 - सत्र ट्रांसक्रिप्ट फ़ाइलों में अपर्याप्त फ़ाइल अनुमतियाँ

OpenClaw में CVE-2026-33572 भेद्यता 2026.2.17 से पहले के संस्करणों को प्रभावित करती है। OpenClaw, JSONL प्रारूप में नए सत्र ट्रांसक्रिप्ट फ़ाइलें बनाते समय, डिफ़ॉल्ट रूप से बहुत व्यापक अनुमतियाँ असाइन करता था। बहु-उपयोगकर्ता होस्ट पर, अन्य स्थानीय उपयोगकर्ता या प्रक्रियाएँ इन ट्रांसक्रिप्ट की सामग्री को पढ़ सकती हैं, जिससे संवेदनशील जानकारी, जिसमें टूल आउटपुट में दिखाई देने वाली गुप्तियाँ शामिल हैं, उजागर हो सकती हैं। सत्र डेटा की गोपनीयता महत्वपूर्ण होने वाले साझा वातावरण में जोखिम विशेष रूप से अधिक है।

This vulnerability primarily affects developers and organizations using openclaw in multi-user environments, particularly those where sensitive data might be present in tool output within openclaw sessions. Shared hosting environments where multiple users share the same server are also at increased risk.

• nodejs / server:

find /path/to/openclaw/session_store -perm -002 -type f

• nodejs / supply-chain:

npm ls openclaw

• generic web: Check file permissions on the openclaw session store directory.

1. 2026-03-16Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-03-16
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-06

इस जोखिम को कम करने के लिए, OpenClaw को संस्करण 2026.2.17 या बाद के संस्करण में अपडेट करने की अनुशंसा की जाती है। यह संस्करण सत्र ट्रांसक्रिप्ट फ़ाइलों की अनुमतियों को प्रतिबंधित करके भेद्यता को ठीक करता है, यह सुनिश्चित करता है कि केवल स्वामी ही उन तक पहुँच सकता है। इसके अतिरिक्त, अपने सिस्टम की सुरक्षा नीतियों की समीक्षा करें ताकि यह सुनिश्चित हो सके कि ट्रांसक्रिप्ट फ़ाइलें सुरक्षित स्थानों पर संग्रहीत हैं और उचित रूप से प्रबंधित हैं। यदि सत्र डेटा की गोपनीयता एक प्रमुख चिंता है, तो सख्त पहुँच नियंत्रण लागू करने पर विचार करें।