FICHE CVE

CVE-2026-53862

Publiée le 2026-06-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.5.12 sont sensibles à une faille de rejeu de jeton lors du processus d'appairage des appareils. Un attaquant ayant accès au réseau peut réutiliser un jeton d'amorçage en attente pour obtenir des permissions système plus étendues que prévu initialement. Cette exploitation est difficile à réaliser, car elle nécessite un timing précis ainsi qu'une interaction active de l'utilisateur pour aboutir.

CVSS 4.02.3 FAIBLE

Type de faiblesse

Attribution de privilège incorrecte · CWE-266 Vérification d'authenticité insuffisante · CWE-345

Publiée2026-06-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.5.12 contains a bootstrap token replay vulnerability allowing callers with pending token access to reuse tokens with broader requested scopes. Attackers can replay bootstrap tokens before approval to escalate pairing authority beyond intended scope limits.