Plataforma
nodejs
Componente
openclaw
Corrigido em
2026.3.12
Uma vulnerabilidade de bypass de autorização foi descoberta no OpenClaw, afetando versões de 0 até 2026.3.12. Essa falha permite que atacantes contornem mecanismos de proteção em chats de grupo, explorando a classificação incorreta de eventos de reação do Feishu. A correção foi disponibilizada na versão 2026.3.12, e a aplicação imediata da atualização é recomendada.
A vulnerabilidade permite que um atacante, ao manipular eventos de reação do Feishu, contorne as proteções de groupAllowFrom e requireMention implementadas no OpenClaw. Isso significa que um atacante pode, por exemplo, enviar uma reação que, em teoria, deveria ser restrita a membros específicos do grupo ou exigir menção, mas que, devido à classificação incorreta, é processada como uma conversa ponto a ponto (p2p). O impacto potencial é a execução de ações não autorizadas dentro do grupo, como a disseminação de informações confidenciais ou a manipulação de configurações, sem a devida permissão. A ausência de validação adequada do tipo de chat abre uma brecha significativa para ataques de escalonamento de privilégios e comprometimento da integridade dos dados.
A vulnerabilidade foi divulgada em 2026-03-29. Não há informações disponíveis sobre a adição a KEV (CISA KEV catalog) ou sobre a existência de exploits públicos. A probabilidade de exploração (EPSS score) é indeterminada devido à falta de informações sobre campanhas ativas. A ausência de um PoC público não garante a inexistência de exploração interna ou direcionada.
Organizations utilizing OpenClaw for collaboration and communication, particularly those integrating with Feishu, are at risk. Environments relying on group chat protections for sensitive information or critical workflows are especially vulnerable. Any deployment of OpenClaw versions 0–2026.3.12 is potentially exposed.
disclosure
Status do Exploit
EPSS
0.06% (percentil 18%)
CISA SSVC
Vetor CVSS
A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 2026.3.12 do OpenClaw. Caso a atualização direta cause interrupções, considere um rollback para uma versão anterior conhecida por ser segura, se disponível. Embora não haja soluções alternativas diretas, a implementação de regras de firewall ou proxies que restrinjam o acesso a endpoints específicos do OpenClaw pode ajudar a reduzir a superfície de ataque. Monitore logs de acesso e eventos do OpenClaw em busca de padrões suspeitos, como eventos de reação do Feishu com valores inesperados para chat_type. Após a atualização, confirme a correção verificando se as proteções groupAllowFrom e requireMention estão funcionando conforme o esperado em chats de grupo.
Atualize OpenClaw para a versão 2026.3.12 ou posterior. Esta versão corrige a vulnerabilidade de omissão de autorização ao classificar corretamente os eventos de reação do Feishu.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-32924 is a critical vulnerability in OpenClaw where Feishu reaction events without a chat_type are misclassified, allowing attackers to bypass group chat protections.
You are affected if you are running OpenClaw versions 0–2026.3.12 and integrate with Feishu. Upgrade to 2026.3.12 to mitigate the risk.
Upgrade OpenClaw to version 2026.3.12 or later. As a temporary workaround, validate the chat_type parameter in incoming Feishu reaction events.
There is currently no evidence of active exploitation or a public proof-of-concept for CVE-2026-32924.
Refer to the OpenClaw project's official security advisories and release notes for details on CVE-2026-32924 and the associated patch.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.