FICHE CVE

CVE-2026-62189

Publiée le 2026-07-13 · Dernière modification le 2026-10-24

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.6.9 sont affectées par une faille dans la fonctionnalité de synchronisation miroir, qui permet à un attaquant de contourner les limites d'autorisation à l'aide de liens symboliques. Un utilisateur distant disposant d'identifiants de bas niveau peut exploiter cette vulnérabilité pour effectuer des actions nécessitant des privilèges plus élevés, accédant potentiellement sans autorisation à des données ou des fonctions système restreintes. Bien que l'attaque soit menée via le réseau sans nécessiter d'interaction de l'utilisateur, elle est techniquement difficile à exécuter.

CVSS 4.07.6 ÉLEVÉE

Type de faiblesse

Suivi de lien symbolique · CWE-59 Situation de concurrence TOCTOU · CWE-367

Publiée2026-07-13

Dernière modification2026-10-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueÉlevée

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions before 2026.6.9 contain a symlink following vulnerability in the mirror sync feature that allows lower-trust callers to perform actions requiring stronger authorization. Attackers can exploit remote symlink parents to bypass policy checks and authorization boundaries when the feature is enabled and reachable.