CVE-2026-56693mediumCWE-602

CVE-2026-56693: fallo de gravedad media en nanocoai nanoclaw

NanoClaw < 2.1.17 - Privilege Escalation via Unauthorized create_agent System Action

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear NanoClaw

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.8epss 0.2%
En resumen

Versiones de NanoClaw anteriores a 2.1.17 permiten que agentes confinados en contenedores creen nuevos agentes y configuraciones sin verificaciones de permiso adecuadas, permitiendo escapar de sus restricciones y obtener control no autorizado.

Detalle técnico

El manejador create_agent en NanoClaw < 2.1.17 realiza operaciones privilegiadas en la base de datos central sin validación de autorización del lado del host (CWE-602). Los contenedores de agentes confinados pueden explotarlo para crear grupos de agentes y destinos arbitrarios, escalando privilegios más allá del aislamiento.

Resumen generado y traducido por IA a partir de la descripción oficial.
NanoClaw before 2.1.17 contains a privilege escalation vulnerability in the create_agent delivery-action handler that performs privileged central-database writes without host-side authorization checks. Confined agent containers can invoke create_agent to create arbitrary agent groups, container configurations, and destinations, escalating beyond their intended confinement boundary.
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Productos afectados
nanocoai · nanoclaw
CVEs relacionadas — nanocoai nanoclaw

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-56402HIGHNanoClaw < 2.1.17 - Privilege Escalation via Unverified Approval Response HandlerEPSS 0.4%CVE-2026-56694MEDIUMNanoClaw < 2.1.0 - Privilege Escalation via Forged Channel Approval CallbackEPSS 0.3%CVE-2026-56692MEDIUMNanoClaw < 2.1.17 - Arbitrary File Read via Symlink Following in forwardAttachedFilesEPSS 0.2%