CVE-2026-22172: OpenClaw: elevação de escopo em conexões WebSocket com autenticação compartilhada
A CVE-2026-22172 afeta versões do OpenClaw anteriores a 2026.3.12. O caminho de conexão WebSocket aceita escopos declarados pelo próprio cliente em conexões autenticadas por token compartilhado ou senha, sem vinculação no servidor, o que pode permitir operações administrativas no gateway. Não há exploração confirmada nas fontes consultadas.
Visão geral
A CVE-2026-22172 afeta versões do OpenClaw anteriores a 2026.3.12. Segundo a descrição do registro, o caminho de conexão WebSocket permite que clientes autenticados por token compartilhado ou senha declarem escopos elevados que o servidor não vincula ao que essas credenciais permitem. A fraqueza é classificada como Missing Authorization (CWE-862).
Impacto
- Segundo a descrição, um cliente nessas conexões pode apresentar escopos elevados, como operator.admin.
- Esses escopos podem permitir operações do gateway restritas a administradores.
- A VulnCheck atribui pontuação base CVSS crítica de 9,9, com alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Openclaw Openclaw: versões anteriores a 2026.3.12.
- O registro não contém uma entrada separada de versão corrigida, portanto o limite superior do intervalo afetado é a única referência de versão disponível.
Status de exploração
A CVE não consta no catálogo KEV da CISA. Os dados SSVC do registro indicam exploração como none e automatizável como no. Não há exploração confirmada nas fontes consultadas.
Correção e mitigação
- Atualize o OpenClaw para 2026.3.12 ou uma versão posterior, já que o intervalo afetado termina nessa versão.
- Até a atualização, restrinja a exposição de rede da interface WebSocket do gateway.
- Revise quais clientes possuem tokens ou senhas compartilhados e renove esses segredos se houver suspeita de exposição.
- Siga o aviso do fornecedor para orientações oficiais.
Orientações de detecção
- Revise os logs do gateway em busca de sessões WebSocket com autenticação por segredo compartilhado que carreguem escopos administrativos.
- Monitore operações administrativas no gateway originadas de clientes ou endereços inesperados.
Limitações das informações disponíveis
O registro não fornece o histórico completo de versões do produto afetado, uma análise detalhada da causa raiz nem informações sobre a alteração exata de código da correção. A probabilidade EPSS é de cerca de 0,57 por cento, o que indica baixa probabilidade modelada de exploração, mas não confirma qualquer atividade.
Perguntas frequentes
Quais versões do OpenClaw são afetadas pela CVE-2026-22172?
O registro indica versões do OpenClaw anteriores a 2026.3.12 como afetadas. Portanto, o intervalo do aviso termina em 2026.3.12.
A CVE-2026-22172 é explorada na prática?
A CVE não consta no catálogo KEV da CISA e não há exploração confirmada nas fontes consultadas.
Qual é a principal medida defensiva?
Atualize o OpenClaw para 2026.3.12 ou posterior, limite a exposição da interface WebSocket do gateway e revise as credenciais compartilhadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.