FICHE CVE

CVE-2026-41334

Publiée le 2026-04-23 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs OpenClaw utilisant des versions antérieures à la 2026.3.31 sont vulnérables à une attaque par « bombe de décompression » via leur système de traitement d'images. Un attaquant distant non authentifié peut provoquer le plantage de votre serveur en téléchargeant une image spécialement conçue et surdimensionnée qui épuise toute la mémoire disponible. Cette attaque est facile à exécuter, bien qu'elle nécessite qu'un utilisateur interagisse avec le système en téléchargeant le fichier malveillant.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-636

Publiée2026-04-23

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.3.31 contains a decompression bomb vulnerability in image processing that fails to properly enforce pixel-limit guards on sips. Attackers can exploit this by uploading oversized images to cause denial of service through excessive memory consumption.