FICHE CVE

CVE-2026-32015

Publiée le 2026-03-19 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 2026.1.21 à 2026.2.18 d'OpenClaw sont affectées par une faille dans la manière dont le système valide les fichiers exécutables autorisés. Un attaquant disposant d'un accès local avec des privilèges restreints peut contourner les listes d'autorisation de sécurité pour exécuter des binaires malveillants en manipulant la variable d'environnement PATH du processus. Cette exploitation est relativement simple à exécuter une fois que l'attaquant a établi un point d'accès sur le système local.

CVSS 4.07.3 ÉLEVÉE

Type de faiblesse

Chemin de recherche non fiable · CWE-426

Publiée2026-03-19

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions 2026.1.21 prior to 2026.2.19 contain a path hijacking vulnerability in tools.exec.safeBins that allows attackers to bypass allowlist checks by controlling process PATH resolution. Attackers who can influence the gateway process PATH or launch environment can execute trojan binaries with allowlisted names, such as jq, circumventing executable validation controls.