FICHE CVE

CVE-2026-35636

Publiée le 2026-04-09 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 2026.3.11 à 2026.3.24 d'OpenClaw sont affectées par une faille dans la validation des clés de session. Un utilisateur authentifié dans une session enfant isolée (sandboxed) peut contourner l'isolation pour lire ou modifier des données provenant de sessions parentes ou sœurs auxquelles il ne devrait pas avoir accès. Cette action peut être exécutée via le réseau avec une faible complexité et ne nécessite aucun clic sur un lien ni aucune autre interaction de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-696

Publiée2026-04-09

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions 2026.3.11 through 2026.3.24 contain a session isolation bypass vulnerability where session_status resolves sessionId to canonical session keys before enforcing visibility checks. Sandboxed child sessions can exploit this to access parent or sibling sessions that should be blocked by explicit sessionKey restrictions.