CVE-2026-35637
Publiée le 2026-04-09 · Dernière modification le 2026-06-17
Les versions d'OpenClaw antérieures à la 2026.3.22 sont affectées par un défaut de synchronisation qui traite le contenu avant de vérifier l'autorisation de l'utilisateur. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette faille pour consulter ou manipuler du contenu protégé sans avoir besoin d'un compte valide ni d'interaction de l'utilisateur. Étant donné que l'attaque ne nécessite aucun privilège particulier ni configuration complexe, elle est relativement facile à exécuter.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw before 2026.3.22 performs cite expansion before completing channel and DM authorization checks, allowing cite work and content handling prior to final auth decisions. Attackers can exploit this timing vulnerability to access or manipulate content before proper authorization validation occurs.