FICHE CVE

CVE-2026-53831

Publiée le 2026-06-12 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.5.18 sur les nœuds POSIX sont sensibles à un contournement de politique lors de la validation des commandes. Un opérateur authentifié disposant de privilèges de bas niveau peut utiliser des métacaractères de shell pour tromper le système et l'amener à exécuter des commandes non autorisées, lui permettant ainsi de lire des fichiers locaux sensibles et des données de configuration. Cette attaque peut être effectuée à distance via le réseau et ne nécessite aucune interaction de l'utilisateur.

CVSS 4.07.6 ÉLEVÉE

Type de faiblesse

Situation de concurrence TOCTOU · CWE-367

Publiée2026-06-12

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.5.18 contains a policy enforcement vulnerability in system.run safe-bin allowlist validation that allows shell expansion to modify command interpretation on POSIX nodes. Authenticated operators can exploit shell metacharacters in approved commands to read unintended node-local files and expose sensitive configuration data.