FICHE CVE

CVE-2026-32036

Publiée le 2026-03-19 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions du plugin de passerelle OpenClaw antérieures à la 2026.2.26 sont vulnérables à une faille de traversée de répertoire (path traversal). Un attaquant distant non authentifié peut contourner les vérifications d'authentification en utilisant des caractères spécialement encodés dans l'URL pour accéder à des routes protégées du plugin. Bien que cette attaque ne nécessite aucune interaction de l'utilisateur, elle est techniquement complexe à exécuter avec succès.

CVSS 4.08.3 ÉLEVÉE

Type de faiblesse

CWE-289 Traversée de répertoires · CWE-22

Publiée2026-03-19

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw gateway plugin versions prior to 2026.2.26 contain a path traversal vulnerability that allows remote attackers to bypass route authentication checks by manipulating /api/channels paths with encoded dot-segment traversal sequences. Attackers can craft alternate paths using encoded traversal patterns to access protected plugin channel routes when handlers normalize the incoming path, circumventing security controls.