p PatchFirst

CVE-2026-34511

CVE-2026-34511 · OpenClaw < 2026.4.2 - PKCE Verifier Exposure via OAuth State Parameter

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

OpenClaw before 2026.4.2 reuses the PKCE verifier as the OAuth state parameter in the Gemini OAuth flow, exposing it through the redirect URL. Attackers who capture the redirect URL can obtain both the authorization code and PKCE verifier, defeating PKCE protection and enabling token redemption.

CVSS 6.0 · Media · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • openclaw

    Versiones
    • ≥ 0, < 2026.4.2: Afectada (semver)
    • 2026.4.2: No afectada (semver)

    Actualiza a 2026.4.2

  • openclaw npm

    Intervalos de versiones afectados
    • SEMVER: < 2026.4.2

    Actualiza a 2026.4.2

Fuentes originales

Comprueba tu servidor →