p PatchFirst

CVE-2026-32905

CVE-2026-32905 · OpenClaw < 2026.5.4 - Unauthorized Device-Pairing Bootstrap Code Issuance via Chat Command

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw before 2026.5.4 contains an authorization bypass vulnerability in the bundled device-pair plugin that allows non-owner authorized chat senders to issue device-pairing bootstrap codes without proper scope validation. Attackers with chat command access can create setup codes to enroll devices with operator/node capabilities, granting persistent credentials until manual removal.

CVSS 8.7 · Высокий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openclaw

    Версии
    • ≥ 0, < 2026.5.4: Затронуто (semver)
    • 2026.5.4: Не затронуто (semver)

    Обновитесь до 2026.5.4

  • openclaw npm

    Затронутые диапазоны версий
    • SEMVER: < 2026.5.4

    Обновитесь до 2026.5.4

Первоисточники

Проверьте свой сервер →