p PatchFirst

CVE-2026-27522

CVE-2026-27522 · OpenClaw < 2026.2.24 - Arbitrary File Read via sendAttachment and setGroupIcon Message Actions

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

OpenClaw versions prior to 2026.2.24 contain a local media root bypass vulnerability in sendAttachment and setGroupIcon message actions when sandboxRoot is unset. Attackers can hydrate media from local absolute paths to read arbitrary host files accessible by the runtime user.

CVSS 7.1 · Élevée · EPSS 0,4% · Correctif disponible

Publication
Mise à jour

Pile logicielle: node

Produits et versions concernés

  • openclaw

    Versions du logiciel
    • ≥ 0, < 2026.2.24: Concernée (semver)

    Mettez à jour vers 2026.2.24

  • openclaw npm

    Plages de versions concernées
    • SEMVER: < 2026.2.24

    Mettez à jour vers 2026.2.24

Sources originales

Vérifiez votre serveur →