CVE-2026-32052
Publiée le 2026-03-21 · Dernière modification le 2026-06-17
Les versions d'OpenClaw antérieures à la 2026.2.24 sont vulnérables à l'injection de commandes via l'enveloppe shell `system.run`. Un attaquant authentifié peut exécuter des commandes système arbitraires en incitant un administrateur à approuver une requête spécialement conçue qui masque la charge utile malveillante. Comme cela nécessite à la fois des identifiants d'utilisateur valides et une tentative d'ingénierie sociale réussie pour obtenir l'approbation administrative, la barrière à l'exploitation est relativement élevée.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw versions prior to 2026.2.24 contain a command injection vulnerability in the system.run shell-wrapper that allows attackers to execute hidden commands by injecting positional argv carriers after inline shell payloads. Attackers can craft misleading approval text while executing arbitrary commands through trailing positional arguments that bypass display context validation.