p PatchFirst

CVE-2026-33574

CVE-2026-33574 · OpenClaw < 2026.3.8 - Path Traversal via Tools Root Rebinding in Skills Download

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw before 2026.3.8 contains a path traversal vulnerability in the skills download installer that validates the tools root lexically but reuses the mutable path during archive download and copy operations. A local attacker can rebind the tools-root path between validation and final write to redirect the installer outside the intended tools directory.

CVSS 5.8 · Средний · EPSS 0,1% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openclaw

    Версии
    • ≥ 0, < 2026.3.8: Затронуто (semver)
    • 2026.3.8: Не затронуто (semver)

    Обновитесь до 2026.3.8

  • openclaw npm

    Затронутые диапазоны версий
    • SEMVER: < 2026.3.8

    Обновитесь до 2026.3.8

Первоисточники

Проверьте свой сервер →