FICHE CVE

CVE-2026-41387

Publiée le 2026-04-28 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.3.22 ne nettoient pas correctement les variables d'environnement, ce qui permet à un attaquant de modifier les paramètres du gestionnaire de paquets. Si un utilisateur est induit en erreur et approuve une demande d'exécution malveillante, l'attaquant peut rediriger les téléchargements de logiciels vers son propre serveur afin d'exécuter du code trojanisé avec les privilèges complets du système. Cela nécessite un accès local et l'interaction de l'utilisateur, mais est autrement simple à exécuter.

CVSS 4.08.5 ÉLEVÉE

Type de faiblesse

CWE-183

Publiée2026-04-28

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.3.22 contains an incomplete host environment variable sanitization vulnerability in host-env-security-policy.json and host-env-security.ts that allows package-manager environment overrides. Attackers can exploit approved exec requests to redirect package resolution or runtime bootstrap to attacker-controlled infrastructure and execute trojanized content.