FICHE CVE

CVE-2026-42423

Publiée le 2026-04-28 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'OpenClaw antérieures à la version 2026.4.8 sont affectées par une faille dans la gestion des délais d'expiration des approbations. Un attaquant disposant d'identifiants d'utilisateur de bas niveau et d'un accès réseau peut contourner les invites de sécurité requises pour exécuter des commandes « inline eval » non autorisées sur les passerelles et les hôtes de nœuds. Cette exploitation est relativement simple à réaliser et ne nécessite aucune interaction de la part d'un autre utilisateur.

CVSS 4.07.7 ÉLEVÉE

Type de faiblesse

CWE-636

Publiée2026-04-28

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.4.8 contains an approval-timeout fallback mechanism that bypasses strictInlineEval explicit-approval requirements on gateway and node exec hosts. Attackers can exploit this timeout fallback to execute inline eval commands that should require explicit user approval, circumventing the intended security boundary.