CVE-2026-53839mediumCWE-1023

CVE-2026-53839: falha de média gravidade em OpenClaw

OpenClaw < 2026.5.7 - Hostname Prefix Matching Bypass in Trusted Retry Endpoint Validation

Publicada em · Atualizada em

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6epss 0.5%
probabilidade de exploração
0.5%top 62% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

O OpenClaw antes da versão 2026.5.7 possui uma falha na validação de nomes de servidor, aceitando qualquer nome que comece com um servidor confiável em vez de exigir correspondência exata, permitindo que atacantes enganem o sistema para enviar credenciais para servidores falsos.

Detalhe técnico

A vulnerabilidade resulta de validação incompleta de hostname nas verificações de endpoints de retry (CWE-1023), onde correspondência de prefixo é usada em vez de comparação exata de string. Um atacante pode criar um hostname malicioso com prefixo confiável para interceptar material de autenticação enviado durante operações de retry.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OpenClaw before 2026.5.7 contains a hostname validation vulnerability in retry endpoint checks that allows matching hostname prefixes instead of exact hostnames. Attackers can exploit this by crafting a hostname prefix resembling a trusted host to send authentication material to untrusted endpoints.
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
OpenClaw · OpenClaw
CVEs relacionadas — OpenClaw

No mesmo produto, das mais perigosas para as menos.

CVE-2026-25253HIGHCVE-2026-25253EPSS 24.4%CVE-2026-32917CRITICALOpenClaw < 2026.3.13 - Remote Command Injection via Unsanitized iMessage Attachment Paths in SCPEPSS 3.2%CVE-2026-53822HIGHOpenClaw < 2026.5.18 - Command Argument Modification via Shell Wrapper Between Approval and ExecutionEPSS 2.0%CVE-2026-32052MEDIUMOpenClaw < 2026.2.24 - Hidden Command Execution via Shell-Wrapper Positional argv CarriersEPSS 1.6%CVE-2026-44998LOWOpenClaw < 2026.4.20 - Tool Policy Bypass via Bundled MCP/LSP ToolsEPSS 1.2%CVE-2026-44109CRITICALOpenClaw < 2026.4.15 - Authentication Bypass in Feishu Webhook and Card-Action ValidationEPSS 1.1%
Referências
https://github.com/openclaw/openclaw/security/advisories/GHSA-77q5-rr5v-x43qhttps://www.vulncheck.com/advisories/openclaw-hostname-prefix-matching-bypass-in-trusted-retry-endpoint-validation