FICHE CVE

CVE-2026-32032

Publiée le 2026-03-19 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.2.22 sont affectées par une faille dans la manière dont le logiciel gère la variable d'environnement SHELL du système. Un attaquant disposant déjà d'un accès local au système peut manipuler cette variable pour exécuter des commandes arbitraires avec les privilèges du processus OpenClaw. Cette exploitation est relativement simple à réaliser, mais nécessite que l'attaquant possède déjà un compte utilisateur local sur la machine.

CVSS 4.07.3 ÉLEVÉE

Type de faiblesse

Chemin de recherche non fiable · CWE-426

Publiée2026-03-19

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions prior to 2026.2.22 contain an arbitrary shell execution vulnerability in shell environment fallback that trusts the unvalidated SHELL path from the host environment. An attacker with local environment access can inject a malicious SHELL variable to execute arbitrary commands with the privileges of the OpenClaw process.