FICHE CVE

CVE-2026-53822

Publiée le 2026-06-12 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.5.18 sont affectées par une faille qui permet à un attaquant de contourner les listes d'autorisation de commandes. En modifiant les arguments d'une commande après leur approbation mais avant leur exécution, un utilisateur disposant d'un accès compte basique peut exécuter des commandes système non autorisées. Cette opération peut être effectuée à distance via le réseau sans nécessiter d'interaction de la part d'autres utilisateurs.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367 Injection de commandes · CWE-77

Publiée2026-06-12

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.5.18 contains a command injection vulnerability where shell wrapper argv could change between approval and execution. Attackers can rebuild command arguments after allowlist approval to execute unapproved command shapes, potentially bypassing security controls.