FICHE CVE

CVE-2026-34511

Publiée le 2026-04-03 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.4.2 sont affectées par une faille dans la gestion des connexions Gemini OAuth. Si un attaquant parvient à intercepter l'URL de redirection d'un utilisateur — généralement via un lien de phishing ou une surveillance réseau — il peut voler les identifiants nécessaires pour détourner la session de l'utilisateur. Cela nécessite que l'attaquant incite l'utilisateur à interagir avec un lien malveillant ou qu'il capture son trafic réseau, mais aucune authentification préalable n'est requise.

CVSS 4.06.0 MOYENNE

Type de faiblesse

CWE-330

Publiée2026-04-03

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.4.2 reuses the PKCE verifier as the OAuth state parameter in the Gemini OAuth flow, exposing it through the redirect URL. Attackers who capture the redirect URL can obtain both the authorization code and PKCE verifier, defeating PKCE protection and enabling token redemption.