FICHE CVE

CVE-2026-41296

Publiée le 2026-04-21 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.3.31 sont affectées par une condition de concurrence (race condition) dans le pont du système de fichiers distant. Un attaquant disposant d'identifiants utilisateur de bas niveau et d'un accès réseau peut exploiter cette faille pour contourner les restrictions du bac à sable (sandbox) et lire des fichiers arbitraires sur le système hôte. Bien que l'attaque nécessite un timing précis pour réussir, elle ne requiert aucune interaction de la part d'autres utilisateurs.

CVSS 4.08.8 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-04-21

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.3.31 contains a time-of-check-time-of-use race condition in the remote filesystem bridge readFile function that allows sandbox escape. Attackers can exploit the separate path validation and file read operations to bypass sandbox restrictions and read arbitrary files.