Plataforma
nodejs
Componente
openclaw
Corrigido em
2026.3.11
Uma vulnerabilidade de escalação de privilégios foi descoberta no OpenClaw, afetando versões anteriores a 2026.3.11. Esta falha reside na função device.token.rotate e permite que atacantes com escopo operator.pairing mintem tokens com escopos mais amplos, contornando as restrições de escopo. A exploração bem-sucedida pode levar à execução remota de código em nós conectados ou acesso não autorizado de gateway-admin.
A vulnerabilidade em OpenClaw permite que um atacante obtenha tokens operator.admin para dispositivos pareados, mesmo sem as permissões necessárias. Com esses tokens, o atacante pode executar código arbitrário no sistema através da função system.run, efetivamente comprometendo a segurança do nó. Além disso, a falha pode ser explorada para obter acesso não autorizado de gateway-admin, permitindo o controle completo sobre o gateway. O impacto é severo, pois a execução remota de código permite a instalação de malware, roubo de dados confidenciais e a tomada de controle completa do sistema afetado. A possibilidade de escalação de privilégios e acesso não autorizado torna esta vulnerabilidade um risco significativo para a integridade e confidencialidade dos dados.
A vulnerabilidade foi divulgada em 29 de março de 2026. Não há informações disponíveis sobre a adição a KEV ou a existência de um EPSS score. Atualmente, não há public proof-of-concept (PoC) amplamente disponível, mas a natureza crítica da vulnerabilidade e a facilidade potencial de exploração sugerem um risco significativo. É recomendável monitorar ativamente a situação e implementar as medidas de mitigação o mais rápido possível.
Organizations utilizing OpenClaw for managing distributed systems, particularly those relying on token-based authentication and authorization, are at risk. Environments with legacy configurations or those that have not implemented robust token scope validation are especially vulnerable. Any deployment of OpenClaw versions 0 through 2026.3.11 should be considered at immediate risk.
disclosure
Status do Exploit
EPSS
0.24% (percentil 47%)
CISA SSVC
Vetor CVSS
A mitigação primária para a vulnerabilidade CVE-2026-32922 é a atualização imediata para a versão 2026.3.11 ou superior do OpenClaw. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais, como restringir o escopo de permissões dos tokens e monitorar a atividade de mintagem de tokens para detectar atividades suspeitas. Implementar regras de firewall para limitar o acesso à função device.token.rotate pode ajudar a reduzir a superfície de ataque. Após a atualização, confirme a correção verificando os logs do sistema em busca de tentativas de mintagem de tokens com escopos ampliados.
Atualize OpenClaw para a versão 2026.3.11 ou posterior. Esta versão corrige a vulnerabilidade de escalada de privilégios na função device.token.rotate.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-32922 is a critical vulnerability in OpenClaw allowing attackers to escalate privileges by minting tokens with broader scopes, potentially leading to remote code execution.
Yes, if you are running OpenClaw versions 0 through 2026.3.11, you are affected by this vulnerability.
Upgrade OpenClaw to version 2026.3.11 or later to remediate the vulnerability. Consider stricter token scope validation as a temporary workaround.
While no active exploitation has been confirmed, the high CVSS score and ease of exploitation suggest a high probability of exploitation.
Refer to the official OpenClaw security advisory for detailed information and updates regarding CVE-2026-32922.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.