8.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
OpenClaw Windows Node before 2026.7.1 contains an incorrect authorization vulnerability in the system.run exec-approval policy where ExecShellWrapperParser fails to split commands on pipe operators or extract command substitutions. Connected gateways or agents can bypass approval rules by placing denied commands behind allowed prefixes using pipe operators or command substitution syntax, achieving arbitrary command execution on Windows hosts.
Засегнати продукти
- OpenClaw OpenClaw Windows Node: преди 2026.7.1
Вид слабост
История
- 30 септември 2026 Публикувано
Други уязвимости в OpenClaw OpenClaw Windows Node
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-101880
- https://nvd.nist.gov/vuln/detail/CVE-2026-101880
- https://github.com/openclaw/openclaw-windows-node/security/advisories/GHSA-r3x2-vf2f-vvj8
- https://github.com/openclaw/openclaw-windows-node/security/advisories/GHSA-vg38-vjq2-vgvh
- https://github.com/openclaw/openclaw-windows-node/commit/2077aa3e7159101bddcee2f4efcb9d604a81619e
- https://github.com/openclaw/openclaw-windows-node/releases/tag/v2026.7.1
- https://github.com/openclaw/openclaw-windows-node/blob/v0.6.12/src/OpenClaw.Shared/ExecShellWrapperParser.cs#L253
- https://www.vulncheck.com/advisories/openclaw-windows-node-before-2026.7.1-authorization-bypass