p PatchFirst

CVE-2026-22176

CVE-2026-22176 · OpenClaw < 2026.2.19 - Command Injection via Unescaped Environment Variables in Windows Scheduled Task Script Generation

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

OpenClaw versions prior to 2026.2.19 contain a command injection vulnerability in Windows Scheduled Task script generation where environment variables are written to gateway.cmd using unquoted set KEY=VALUE assignments, allowing shell metacharacters to break out of assignment context. Attackers can inject arbitrary commands through environment variable values containing metacharacters like &, |, ^, %, or ! to achieve command execution when the scheduled task script is generated and executed.

CVSS 6.9 · Mittel · EPSS 0,7% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • openclaw

    Softwareversionen
    • ≥ 0, < 2026.2.19: Betroffen (semver)
    • 2026.2.19: Nicht betroffen (semver)

    Auf 2026.2.19 aktualisieren

  • openclaw npm

    Betroffene Versionsbereiche
    • SEMVER: < 2026.2.19

    Auf 2026.2.19 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →