Path Traversal in github.com/openclaw/crabbox (CVE-2026-45224)
Summary
Path traversal in github.com/openclaw/crabbox (CVE-2026-45224). Data can be tampered with by attackers. Exploitable via sprite. Mitigation: upgrade to 0.9.0 or later.
Original description
The description as published by the source.
Crabbox before 0.9.0 contains a path traversal vulnerability in the Islo provider's workspace path resolution that allows attackers to supply absolute or relative paths that resolve outside the intended /workspace directory. Attackers can craft a malicious .crabbox.yaml or crabbox.yaml file with traversal sequences to cause arbitrary file deletion and overwrite when sync.delete is enabled, as the workspace preparation logic executes rm -rf and mkdir -p operations on the resolved path without proper validation.
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Crabboxのバージョン0.9.0未満におけるIsloプロバイダのワークスペースパス解決にパストラバーサルの脆弱性があります。攻撃者は意図されたディレクトリ外へのパスを供給し、任意のファイル削除や上書きを行うことが可能です。
CrabboxのIsloプロバイダでのワークスペースパス解決におけるパストラバーサルの脆弱性。
Crabboxのバージョン0.9.0未満のIsloプロバイダ。
攻撃者が意図されたディレクトリ外へのパスを供給可能で、重要なファイルの削除や改ざんにつながる可能性があるため。
Crabboxをバージョン0.9.0以降にアップデートする。
sync.deleteを無効化し、信頼できる設定ファイルのみを使用する。
信頼できない設定ファイルが存在していないか確認し、設定でパスが意図しないディレクトリにアクセス可能かどうかを点検する。
Affected packages
References
- advisory nvd.nist.gov
- advisory github.com
- package github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com