FICHE CVE

CVE-2026-35651

Publiée le 2026-04-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions 2026.2.13 à 2026.3.24 d'OpenClaw sont affectées par une faille qui permet à des attaquants d'injecter des codes de contrôle de terminal malveillants dans les métadonnées des outils. Un attaquant peut utiliser cela pour usurper la sortie du terminal et manipuler ce que vous voyez dans les invites d'approbation ou les journaux de permissions, vous incitant potentiellement à accorder des autorisations non autorisées. Cela ne nécessite aucun privilège ou authentification particulière, mais ne fonctionne que si un utilisateur interagit avec un outil malveillant.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-150

Publiée2026-04-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions 2026.2.13 through 2026.3.24 contain an ANSI escape sequence injection vulnerability in approval prompts that allows attackers to spoof terminal output. Untrusted tool metadata can carry ANSI control sequences into approval prompts and permission logs, enabling attackers to manipulate displayed information through malicious tool titles.