Plataforma
nodejs
Componente
openclaw
Corrigido em
2026.3.1
2026.3.1
A vulnerabilidade CVE-2026-32041 no OpenClaw, um componente Node.js, ocorre devido a uma falha na autenticação durante o processo de inicialização. Se a autenticação automática falhar, o sistema pode prosseguir com a inicialização, expondo rotas de controle de navegador sem a necessidade de credenciais. Essa falha afeta versões anteriores a 2026.3.1 e foi corrigida com a interrupção da inicialização em caso de falha na autenticação.
O impacto desta vulnerabilidade reside na possibilidade de um atacante, localmente ou através de um ataque SSRF (Server-Side Request Forgery) acessível via loopback, obter acesso não autorizado às rotas de controle do navegador. Isso inclui a capacidade de executar ações que requerem avaliação, como a manipulação do navegador controlado. Um atacante poderia, por exemplo, injetar código malicioso ou realizar ações não autorizadas no contexto do navegador controlado, comprometendo a segurança do sistema e potencialmente expondo dados sensíveis. A ausência de autenticação adequada abre uma brecha significativa para exploração.
A vulnerabilidade foi divulgada em 2026-03-02. Não há informações disponíveis sobre a inclusão em KEV ou a existência de PoCs públicas. A probabilidade de exploração é considerada baixa a média, dependendo da configuração e exposição do OpenClaw em ambientes de produção. A ausência de exploração ativa confirmada sugere que a vulnerabilidade ainda não foi amplamente explorada.
Organizations deploying OpenClaw in environments with potential SSRF vulnerabilities are at the highest risk. This includes deployments where the OpenClaw instance has access to internal services or resources that could be leveraged for SSRF attacks. Shared hosting environments where multiple users share the same OpenClaw instance are also at increased risk.
• nodejs / server:
ps aux | grep openclaw• nodejs / server:
npm list -g openclaw• nodejs / server:
journalctl -u openclaw --since "1 hour ago"• generic web:
curl -I http://<openclaw_host>/browser-control/evaluate• generic web:
grep -r "browser-control/evaluate" /var/log/nginx/access.logdisclosure
Status do Exploit
EPSS
0.02% (percentil 4%)
CISA SSVC
Vetor CVSS
A correção primária para CVE-2026-32041 é a atualização para a versão 2026.3.1 ou superior do OpenClaw. Em ambientes onde a atualização imediata não é possível, uma mitigação temporária consiste em garantir que as credenciais de autenticação sejam explicitamente configuradas antes do início do OpenClaw. A ausência de credenciais configuradas deve resultar na interrupção da inicialização. Monitore logs de acesso para identificar tentativas de acesso não autorizado às rotas de controle do navegador. Após a atualização, confirme a correção verificando se a inicialização falha ao tentar acessar as rotas de controle sem credenciais válidas.
Atualize OpenClaw para a versão 2026.3.1 ou posterior. Isso corrige a vulnerabilidade que permite o acesso não autenticado às rotas de controle do navegador devido a erros no processo de autenticação inicial.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-32041 é uma vulnerabilidade que permite acesso não autorizado a rotas de controle de navegador no OpenClaw devido a uma falha na autenticação durante a inicialização.
Se você estiver utilizando uma versão do OpenClaw anterior a 2026.3.1, você está potencialmente afetado. Verifique sua versão e atualize imediatamente.
A correção é atualizar para a versão 2026.3.1 ou superior do OpenClaw. Garanta que as credenciais de autenticação sejam explicitamente configuradas.
Atualmente, não há informações sobre exploração ativa confirmada desta vulnerabilidade, mas a probabilidade de exploração existe.
Consulte a documentação oficial do OpenClaw e os canais de comunicação da comunidade para obter informações sobre a correção e o aviso de segurança.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.