CVE-2026-56693mediumCWE-602

CVE-2026-56693: falha de média gravidade em nanocoai nanoclaw

NanoClaw < 2.1.17 - Privilege Escalation via Unauthorized create_agent System Action

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar NanoClaw

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.8epss 0.2%
Em resumo

Versões do NanoClaw anteriores à 2.1.17 permitem que agentes confinados em containers criem novos agentes e configurações sem verificações de permissão adequadas, permitindo escapar de suas restrições e ganhar controle não autorizado.

Detalhe técnico

O handler create_agent em NanoClaw < 2.1.17 realiza operações privilegiadas no banco de dados central sem validação de autorização no host (CWE-602). Containers de agentes confinados podem explorar isso para criar grupos de agentes e destinos arbitrários, escalando privilégios além do sandbox.

Resumo gerado e traduzido por IA a partir da descrição oficial.
NanoClaw before 2.1.17 contains a privilege escalation vulnerability in the create_agent delivery-action handler that performs privileged central-database writes without host-side authorization checks. Confined agent containers can invoke create_agent to create arbitrary agent groups, container configurations, and destinations, escalating beyond their intended confinement boundary.
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
Produtos afetados
nanocoai · nanoclaw
CVEs relacionadas — nanocoai nanoclaw

No mesmo produto, das mais perigosas para as menos.

CVE-2026-56402HIGHNanoClaw < 2.1.17 - Privilege Escalation via Unverified Approval Response HandlerEPSS 0.4%CVE-2026-56694MEDIUMNanoClaw < 2.1.0 - Privilege Escalation via Forged Channel Approval CallbackEPSS 0.3%CVE-2026-56692MEDIUMNanoClaw < 2.1.17 - Arbitrary File Read via Symlink Following in forwardAttachedFilesEPSS 0.2%