CVE-2026-43584
highPriorität · verfolgen · 0EPSS 0.004 · 33. PerzentilDEEUUSEPSS · bewertet 2026-10-27
OpenClaw before 2026.4.10 contains an insufficient environment variable denylist vulnerability in its exec environment policy that allows operator-supplied overrides of high-risk interpreter startup variables including VIMINIT, EXINIT, LUA_INIT, and HOSTALIASES. Attackers can exploit this by manipulating these environment variables to influence downstream execution behavior or network connectivity.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6.3–8.8
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (5)
Betroffene Produkte und Versionsbereiche.
Advisories (2)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2026-1161OpenClaw: Mehrere SchwachstellenDeutsch2026-04-16csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in OpenClaw ausnutzen, um erweiterte Rechte zu erlangen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten offenzulegen oder zu manipulieren oder andere, nicht näher spezifizierte Angriffe durchzuführen.
- GHSA-vfp4-8x56-j7c5OpenClaw: Exec environment denylist missed high-risk interpreter startup variables2026-04-17ghsa · osvUS
## Summary Exec environment denylist missed high-risk interpreter startup variables. ## Affected Packages / Versions - Package: `openclaw` - Ecosystem: npm - Affected versions: `< 2026.4.10` - Patched versions: `>= 2026.4.10` ## Impact The exec environment policy missed interpreter startup variables such as `VIMINIT`, `EXINIT`, `LUA_INIT`, and `HOSTALIASES`, allowing operator-supplied environment overrides to influence downstream execution or network behavior. ## Technical Details The fix expands the host environment security policy denylist to cover these and related high-risk environment variables, with regression coverage. ## Fix The issue was fixed in #63277. The first stable tag containing the fix is `v2026.4.10`, and `openclaw@2026.4.14` includes the fix. ## Fix Commit(s) - `2d126fc62343a7b6895351f96e4e1474bc358140` - PR: #63277 ## Release Process Note Users should upgrade to `openclaw` 2026.4.10 or newer. The latest npm release, `2026.4.14`, already includes the fix. ## Credits Thanks to @feiyang666 of Tencent zhuque Lab (https://github.com/Tencent/AI-Infra-Guard) for reporting this issue.
auch bekannt als (3)
Weitere Namen und Kennungen dieser Entität.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (8)
Externe Belege — Patches, Meldungen, Analysen.
- https://github.com/openclaw/openclaw/releasesPatchcnnvd
- https://nvd.nist.gov/vuln/detail/CVE-2026-43584cnnvd
- https://github.com/openclaw/openclaw/commit/2d126fc62343a7b6895351f96e4e1474bc358140enisa_euvd
- https://github.com/openclaw/openclaw/security/advisories/GHSA-vfp4-8x56-j7c5enisa_euvd
- https://www.vulncheck.com/advisories/openclaw-insufficient-environment-variable-denylist-in-exec-policyenisa_euvd
- https://github.com/openclaw/openclaw/commit/2d126fc62343a7b6895351f96e4e1474bc358140Patchnvd
- https://github.com/openclaw/openclaw/security/advisories/GHSA-vfp4-8x56-j7c5MitigationVendor Advisorynvd
- https://www.vulncheck.com/advisories/openclaw-insufficient-environment-variable-denylist-in-exec-policyThird Party Advisorynvd
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan