As verificações de fim de ano de reexperimento confiável podem corresponder aos prefixos do nome do host. Nas versões afetadas, um URL do objetivo de reexperimento escolhido por entrada de confiança inferior pode passar a validação usando um prefixo do nome de máquina que se assemelha a um hospedeiro confiável. Esta aconselhamento é oferecido para a funcionalidade e configuração nomeadas. Ele não muda o modelo de operador de confiança da OpenClaw: operadores de gateway autentificados, plug- in instalados e superfícies de execução local intencional permanecem confiáveis a menos que uma política separada, aprovação, lista de autorização, caixa de areia ou limite de auth é cruzada. Quando a funcionalidade afetada estiver ativada e alcançada, isso poderá enviar material de autenticação para um endpoint fora do alvo de confiança pretendido. O impacto prático depende da configuração do operador e se a entrada de confiança inferior pode alcançar esse caminho.
### Versão empalhada. A primeira versão estável com correção é ` 2026.5.7 `. pin retest os endpoints para exazer as origens confiáveis até que sejam corrigidas. Como endurecimento geral, mantenha as listas de permissões de canal e ferramenta estreitas, evite compartilhar um Gateway entre usuários mutuamente desconfiados e desactive a funcionalidade afetada quando não for necessário. Registro de aconselhamento: GHSA- 77 q 5 - rr 5 v- x 43 q. Não há nenhum identificador adicional listado.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 17: 22: 11.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 17: 22: 11.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N.
Software afetado e informação de versão: pacote npm openclaw — ECOSYSTEM: introduzido 0, corrigido 2026.5.7. Classificação e evidência: identificadores de fraqueza CWE- 1023, CWE- 20, CWE- 345. O registro contém 2 suporte de referências nestes tipos: WEB, PACKAGE.