p PatchFirst

CVE-2026-35619

CVE-2026-35619 · OpenClaw < 2026.3.24 - Authorization Bypass via HTTP /v1/models Endpoint

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw before 2026.3.24 contains an authorization bypass vulnerability in the HTTP /v1/models endpoint that fails to enforce operator read scope requirements. Attackers with only operator.approvals scope can enumerate gateway model metadata through the HTTP compatibility route, bypassing the stricter WebSocket RPC authorization checks.

CVSS 5.3 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openclaw

    Версии
    • ≥ 0, < 2026.3.24: Затронуто (semver)
    • 2026.3.24: Не затронуто (semver)

    Обновитесь до 2026.3.24

  • openclaw npm

    Затронутые диапазоны версий
    • SEMVER: < 2026.3.24

    Обновитесь до 2026.3.24

Первоисточники

Проверьте свой сервер →