Plataforma
nodejs
Componente
openclaw
Corrigido em
2026.3.11
2026.3.11
A vulnerabilidade CVE-2026-32918 no openclaw permite que um subagente sandboxed ignore as restrições de visibilidade da sessão, acessando ou modificando dados de outras sessões. Isso pode levar à leitura de dados confidenciais ou à modificação não autorizada do estado da sessão. Afeta versões do openclaw anteriores ou iguais a 2026.3.8. A vulnerabilidade foi corrigida na versão 2026.3.11 e posteriores.
A vulnerabilidade CVE-2026-32918 no OpenClaw afeta a ferramenta interna session_status, que não aplicava corretamente as restrições de visibilidade da sessão. Um subagente sandboxed poderia fornecer a sessionKey de outra sessão, permitindo-lhe inspecionar ou modificar dados fora do seu próprio escopo de sandbox. Isso representa um risco de segurança significativo, pois um subagente malicioso poderia acessar informações sensíveis ou até mesmo alterar o comportamento de outras sessões.
A exploração desta vulnerabilidade requer que um subagente sandboxed tenha a capacidade de obter a sessionKey de outra sessão. Isso pode ocorrer se a configuração do sandbox estiver incorreta ou se existirem outras vulnerabilidades que permitam a um subagente escapar do seu ambiente isolado. Uma vez que o atacante tem a sessionKey, pode utilizá-la para ler ou modificar dados na sessão alvo, incluindo a persistência de modelos.
Applications and services relying on openclaw for sandboxing and session management are at risk. This includes systems where subagents are used to extend the functionality of the main application, particularly those handling sensitive user data or financial transactions. Organizations using legacy openclaw configurations or those with limited resources for timely patching are particularly vulnerable.
• nodejs:
npm list openclawThis command will list installed openclaw versions. Check if the version is <= 2026.3.8. • nodejs:
find / -name "openclaw*" -type d -printThis command searches for openclaw related directories, which may indicate installation locations. • generic web: Review openclaw logs for unusual session activity or attempts to access data outside the expected scope. Look for patterns indicative of a sandboxed subagent attempting to access other session keys.
disclosure
Status do Exploit
EPSS
0.01% (percentil 2%)
CISA SSVC
Vetor CVSS
Para mitigar este risco, recomenda-se atualizar o OpenClaw para a versão 2026.3.11 ou superior. Esta versão inclui uma correção que reforça a aplicação das restrições de visibilidade da sessão, prevenindo o acesso não autorizado aos dados de outras sessões. Além disso, recomenda-se rever a configuração dos subagentes sandboxed para garantir que tenham apenas acesso aos recursos necessários para o seu funcionamento, minimizando assim a superfície de ataque. A atualização é a solução mais eficaz e recomenda-se a sua aplicação imediata.
Actualice OpenClaw a la versión 2026.3.11 o posterior. Esta versión corrige la vulnerabilidad de escape de sandbox de sesión en la herramienta session_status, impidiendo que los subagentes en sandbox accedan al estado de la sesión principal o de las sesiones hermanas.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
OpenClaw é um framework para a execução de agentes de IA em ambientes sandboxed.
Um sandbox é um ambiente isolado que limita o acesso de um agente aos recursos do sistema, prevenindo que cause danos ou acesse informações confidenciais.
Você pode verificar sua versão do OpenClaw executando o comando openclaw --version na linha de comando.
Se você não puder atualizar imediatamente, considere restringir o acesso de subagentes sandboxed aos recursos do sistema e monitorar a atividade da sessão em busca de comportamentos suspeitos.
Você pode encontrar mais informações sobre esta vulnerabilidade na documentação oficial do OpenClaw e em bases de dados de vulnerabilidades como o National Vulnerability Database (NVD).
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.