CVE-2026-44111
Publiée le 2026-05-06 · Dernière modification le 2026-06-17
Les versions d'OpenClaw antérieures à la 2026.4.15 sont affectées par une faille dans le backend QMD qui permet à un attaquant de lire n'importe quel fichier Markdown situé à la racine de l'espace de travail. Pour exploiter cette vulnérabilité, un utilisateur doit déjà disposer d'un accès authentifié à l'outil de mémoire et pouvoir atteindre le serveur via le réseau. Comme cela nécessite des identifiants existants avec des privilèges restreints et que l'attaque est limitée à des types de fichiers spécifiques, le risque est relativement faible.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw before 2026.4.15 contains an arbitrary file read vulnerability in the QMD backend memory_get function that allows callers to read any Markdown files within the workspace root. Attackers with access to the memory tool can bypass path restrictions by providing arbitrary workspace Markdown paths to read files outside canonical memory locations or indexed QMD result sets.