p PatchFirst

CVE-2026-53809

CVE-2026-53809 · OpenClaw < 2026.4.25 - Provider Alias Confusion in Embedded Runner Policy

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw before 2026.4.25 contains a policy bypass vulnerability in embedded runner policy that allows requests using provider aliases to compare against aliases instead of canonical provider identities. Attackers can exploit this confusion to select bundled tool access outside intended provider policy restrictions when the affected feature is enabled.

CVSS 4.8 · Средний · EPSS 0,1% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • openclaw

    Версии
    • ≥ 0, < 2026.4.25: Затронуто (semver)
    • 2026.4.25: Не затронуто (semver)

    Обновитесь до 2026.4.25

  • openclaw npm

    Затронутые диапазоны версий
    • SEMVER: < 2026.4.25

    Обновитесь до 2026.4.25

Первоисточники

Проверьте свой сервер →