CVE-2026-35652
Publiée le 2026-04-10 · Dernière modification le 2026-06-17
Les installations d'OpenClaw antérieures à la version 2026.3.22 sont vulnérables à un contournement d'autorisation dans leur système de dispatching des rappels (callbacks). Un attaquant non authentifié disposant d'un accès réseau peut déclencher des gestionnaires d'actions internes sans figurer sur la liste d'autorisation. Cette exploitation est relativement simple à exécuter car elle ne nécessite aucune interaction de l'utilisateur ni de privilèges particuliers.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw before 2026.3.22 contains an authorization bypass vulnerability in interactive callback dispatch that allows non-allowlisted senders to execute action handlers. Attackers can bypass sender authorization checks by dispatching callbacks before normal security validation completes, enabling unauthorized actions.