CVE-2026-35635
Publiée le 2026-04-09 · Dernière modification le 2026-06-17
Les installations d'OpenClaw antérieures à la version 2026.3.22 utilisant l'extension Synology Chat sont concernées. Un attaquant peut contourner les politiques de contrôle d'accès pour remplacer la propriété des routes entre différents comptes, ce qui pourrait lui permettre d'envoyer des messages ou d'accéder à des données dans des messages directs privés auxquels il ne devrait pas avoir accès. Cela nécessite un accès réseau mais est difficile à exécuter, car l'attaquant doit cibler spécifiquement des chemins de webhook partagés ou en double.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw before 2026.3.22 contains a webhook path route replacement vulnerability in the Synology Chat extension that allows attackers to collapse multi-account configurations onto shared webhook paths. Attackers can exploit inherited or duplicate webhook paths to bypass per-account DM access control policies and replace route ownership across accounts.