p PatchFirst

CVE-2026-28393

CVE-2026-28393 · OpenClaw 2.0.0-beta3 < 2026.2.14 - Arbitrary JavaScript Module Loading via Hook Transform Path Traversal

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw versions 2.0.0-beta3 prior to 2026.2.14 contain a path traversal vulnerability in hook transform module loading that allows arbitrary JavaScript execution. The hooks.mappings[].transform.module parameter accepts absolute paths and traversal sequences, enabling attackers with configuration write access to load and execute malicious modules with gateway process privileges.

CVSS 8.3 · Высокий · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openclaw

    Версии
    • ≥ 2.0.0-beta3, < 2026.2.14: Затронуто (custom)

    Обновитесь до 2026.2.14

  • openclaw npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 2.0.0-beta3, < 2026.2.14

    Обновитесь до 2026.2.14

Первоисточники

Проверьте свой сервер →