OpenClaw कैनवस पाथ ट्रावर्सल जानकारी प्रकटीकरण भेद्यता

OpenClaw में CVE-2026-3689 संवेदनशील जानकारी के प्रकटीकरण का जोखिम पैदा करता है। यह कैनवास गेटवे एंडपॉइंट के माध्यम से शोषण किया जाता है, जहां उपयोगकर्ता द्वारा प्रदान किए गए पथ मापदंडों का अपर्याप्त सत्यापन एक हमलावर को अनधिकृत फ़ाइलों और निर्देशिकाओं तक पहुंचने की अनुमति देता है। चूंकि इस भेद्यता का शोषण करने के लिए प्रमाणीकरण की आवश्यकता होती है, इसलिए जोखिम OpenClaw सिस्टम तक पहुंच वाले प्रमाणित उपयोगकर्ताओं तक सीमित है। CVSS स्कोर 6.5 है, जो मध्यम जोखिम दर्शाता है। जानकारी का प्रकटीकरण सिस्टम के भीतर संग्रहीत गोपनीय डेटा को शामिल कर सकता है, जिससे एप्लिकेशन की अखंडता और गोपनीयता से समझौता हो सकता है।

Organizations deploying OpenClaw, particularly those with publicly accessible canvas gateway endpoints, are at risk. Shared hosting environments where multiple users share the same OpenClaw instance are also particularly vulnerable, as an attacker compromising one user's account could potentially exploit this vulnerability to access data belonging to other users.

• linux / server:

journalctl -u openclaw -g 'canvas gateway' | grep -i "path traversal"

• linux / server:

lsof -p $(pidof openclaw) | grep /path/to/sensitive/file

• generic web:

curl -I http://your-openclaw-server/canvas/path/../sensitive/file.txt

1. 2026-04-11Disclosure

   disclosure

1. आरक्षित2026-03-07
2. प्रकाशित2026-04-11
3. संशोधित2026-04-13
4. EPSS अद्यतन2026-04-18

वर्तमान में, CVE-2026-3689 के लिए कोई आधिकारिक फिक्स (पैच) उपलब्ध नहीं है। तत्काल शमन में कैनवास एंडपॉइंट तक पहुंच को अधिकृत उपयोगकर्ताओं तक सीमित करना और शोषण प्रयासों के लिए सिस्टम की निगरानी करना शामिल है। हम OpenClaw प्रशासकों को अपडेट और सुरक्षा पैच के लिए डेवलपर्स से संपर्क करने की दृढ़ता से सलाह देते हैं। इस बीच, सख्त एक्सेस नियंत्रण लागू करना और भेद्यता की पहचान और सुधार के लिए स्रोत कोड की समीक्षा करना महत्वपूर्ण है। OpenClaw उपयोगकर्ताओं पर न्यूनतम विशेषाधिकार के सिद्धांत को लागू करने से भी संभावित शोषण के प्रभाव को कम करने में मदद मिल सकती है।