FICHE CVE

CVE-2026-35649

Publiée le 2026-04-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.3.22 sont affectées par une faille dans la manière dont le logiciel gère les listes d'autorisation (allowlists) vides. Un attaquant non authentifié disposant d'un accès réseau peut exploiter cette vulnérabilité pour contourner les restrictions de contrôle d'accès, rétablissant ainsi des permissions que l'administrateur avait l'intention de révoquer. Cette attaque est relativement simple à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni d'identifiants préalables.

CVSS 4.06.3 MOYENNE

Type de faiblesse

CWE-183

Publiée2026-04-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.3.22 contains a settings reconciliation vulnerability that allows attackers to bypass intended deny-all revocations by exploiting empty allowlist handling. The vulnerability treats explicit empty allowlists as unset during reconciliation, silently undoing intended access control denials and restoring previously revoked permissions.