Plataforma
nodejs
Componente
openclaw
Corrigido em
2026.2.18
A vulnerabilidade CVE-2026-3689 é um problema de Path Traversal identificado no OpenClaw, que permite a divulgação de informações sensíveis. Explorando a falta de validação adequada dos parâmetros de caminho no endpoint do gateway da tela, um atacante pode acessar arquivos e dados confidenciais. Essa vulnerabilidade afeta as versões 2026.2.17 do OpenClaw e, atualmente, não há um patch oficial disponível para mitigar o risco.
A vulnerabilidade CVE-2026-3689 no OpenClaw representa um risco de divulgação de informações sensíveis. Ela é explorada através do endpoint do gateway do canvas, onde a falta de validação adequada dos parâmetros de caminho fornecidos pelo usuário permite que um atacante acesse arquivos e diretórios não autorizados. Como a autenticação é necessária para explorar esta vulnerabilidade, o risco é limitado a usuários autenticados com acesso ao sistema OpenClaw. A pontuação CVSS é 6.5, indicando um risco moderado. A divulgação de informações pode incluir dados confidenciais armazenados no sistema, comprometendo a integridade e a confidencialidade do aplicativo.
A vulnerabilidade é explorada manipulando os parâmetros de caminho enviados para o endpoint do canvas. Um atacante autenticado pode construir um caminho malicioso que o sistema interprete como um pedido para acessar um arquivo ou diretório fora do diretório pretendido. A falta de validação de caminho permite que este pedido seja executado, revelando o conteúdo do arquivo ou diretório. O sucesso da exploração depende da capacidade do atacante de autenticar no sistema OpenClaw e da existência de arquivos ou diretórios sensíveis nos caminhos acessíveis.
Organizations deploying OpenClaw, particularly those with publicly accessible canvas gateway endpoints, are at risk. Shared hosting environments where multiple users share the same OpenClaw instance are also particularly vulnerable, as an attacker compromising one user's account could potentially exploit this vulnerability to access data belonging to other users.
• linux / server:
journalctl -u openclaw -g 'canvas gateway' | grep -i "path traversal"• linux / server:
lsof -p $(pidof openclaw) | grep /path/to/sensitive/file• generic web:
curl -I http://your-openclaw-server/canvas/path/../sensitive/file.txtdisclosure
Status do Exploit
EPSS
0.28% (percentil 51%)
CISA SSVC
Vetor CVSS
Atualmente, não há uma correção (patch) oficial disponível para CVE-2026-3689. A mitigação imediata envolve restringir o acesso ao endpoint do canvas a usuários autorizados e monitorar o sistema em busca de tentativas de exploração. Os administradores do OpenClaw são fortemente aconselhados a monitorar de perto as atualizações de segurança do OpenClaw e aplicar quaisquer patches ou soluções assim que estiverem disponíveis. A implementação de controles de acesso mais rígidos e validação robusta de entrada são medidas preventivas cruciais para evitar futuras vulnerabilidades desse tipo. Considere a implementação de um Firewall de Aplicações Web (WAF) para filtrar tráfego malicioso.
Actualice OpenClaw a la versión corregida para mitigar la vulnerabilidad de recorrido de directorios. Verifique y fortalezca la validación de las rutas de usuario en el código fuente para prevenir futuros ataques. Implemente controles de acceso estrictos para limitar el acceso a archivos sensibles.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Uma pontuação CVSS de 6.5 indica um nível de risco moderado. Significa que a vulnerabilidade pode ser explorada relativamente facilmente e pode ter um impacto significativo se explorada com sucesso.
A vulnerabilidade afeta as instalações do OpenClaw que não foram corrigidas. A versão específica afetada não foi detalhada, portanto, verifique a documentação oficial do OpenClaw para obter mais informações.
Restringir o acesso ao endpoint do canvas e monitorar o sistema são medidas de mitigação temporárias. A implementação de controles de acesso mais rígidos também pode ajudar.
A informação divulgada dependerá dos arquivos e diretórios que o atacante pode acessar. Pode incluir dados confidenciais, informações de configuração ou código-fonte.
Consulte a documentação oficial do OpenClaw e as fontes de informação sobre segurança cibernética para obter atualizações e detalhes adicionais.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.