p PatchFirst

CVE-2026-31995

CVE-2026-31995 · OpenClaw 2026.1.21 < 2026.2.19 - Command Injection via Windows Shell Fallback in Lobster Extension

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

OpenClaw versions 2026.1.21 prior to 2026.2.19 contain a command injection vulnerability in the Lobster extension's Windows shell fallback mechanism that allows attackers to inject arbitrary commands through tool-provided arguments. When spawn failures trigger shell fallback with shell: true, attackers can exploit cmd.exe command interpretation to execute malicious commands by controlling workflow arguments.

CVSS 5.8 · Media · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • openclaw

    Versiones
    • ≥ 2026.1.21, < 2026.2.19: Afectada (semver)
    • 2026.2.19: No afectada (semver)

    Actualiza a 2026.2.19

  • openclaw npm

    Intervalos de versiones afectados
    • SEMVER: ≥ 2026.1.21, < 2026.2.19

    Actualiza a 2026.2.19

Fuentes originales

Comprueba tu servidor →