FICHE CVE

CVE-2026-44113

Publiée le 2026-05-06 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à 2026.4.22 sont affectées par une condition de concurrence (race condition) dans le pont de système de fichiers OpenShell. Un attaquant disposant d'identifiants d'utilisateur de bas niveau peut utiliser des permutations de liens symboliques (symlink swaps) pour contourner les restrictions du bac à sable (sandbox) et lire des fichiers sensibles en dehors de la racine de montage prévue. Cette attaque peut être exécutée à distance via le réseau et ne nécessite aucune interaction de l'utilisateur avec un lien ou un fichier malveillant.

CVSS 4.08.3 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-05-06

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.4.22 contains a time-of-check/time-of-use race condition in the OpenShell filesystem bridge that allows attackers to read files outside the intended mount root. Attackers can exploit symlink swaps during filesystem operations to bypass sandbox restrictions and access unauthorized file contents.