p PatchFirst

CVE-2026-28457

CVE-2026-28457 · OpenClaw < 2026.2.14 - Path Traversal in Sandbox Skill Mirroring via Name Parameter

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

OpenClaw versions prior to 2026.2.14 contain a path traversal vulnerability in sandbox skill mirroring (must be enabled) that uses the skill frontmatter name parameter unsanitized when copying skills into the sandbox workspace. Attackers who provide a crafted skill package with traversal sequences like ../ or absolute paths in the name field can write files outside the sandbox workspace root directory.

CVSS 5.6 · Media · EPSS 0,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • openclaw

    Versiones
    • ≥ 0, < 2026.2.14: Afectada (custom)

    Actualiza a 2026.2.14

  • openclaw npm

    Intervalos de versiones afectados
    • SEMVER: < 2026.2.14

    Actualiza a 2026.2.14

Fuentes originales

Comprueba tu servidor →