Privilege Escalation in openclaw (CVE-2026-53855, CVSS 8.1)

Summary

Vulnerability in openclaw (CVE-2026-53855). Confidential information can be exposed externally. Mitigation: upgrade to 2026.4.2 or later.

Original description

The description as published by the source.

OpenClaw before 2026.4.2 contains an inline-eval bypass vulnerability allowing authenticated operators to weaken strict allowlist checks via shell positional parameters. Attackers can combine allowlisted tools with shell positional arguments to place inline-eval content in shell carriers outside intended allowlist rules, enabling execution of unapproved shell-provided content.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

OpenClawのバージョン2026.4.2以前には、認証済みのオペレーターが厳格な許可リストのチェックを緩和できるインライン評価バイパスの脆弱性があります。この攻撃により、許可されていないシェルによるコンテンツの実行が可能になります。

❓ What is the problem

OpenClawのインライン評価バイパスの脆弱性

📍 Affected scope

OpenClawの2026.4.2未満のバージョン

🔥 Severity

攻撃者による未承認のシェルコンテンツの実行が可能になり、セキュリティが大幅に低下する。

🔧 How to fix

OpenClawをバージョン2026.4.2以降にアップグレードする。

🛡️ Workaround

情報なし

🔍 Detection

システムログを監視し、攻撃パターンに一致する不審なシェルコマンド実行をチェックする。

Affected packages

npm openclaw

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.4.2"}]}]

References

advisory github.com
advisory vulncheck.com
advisory nvd.nist.gov
advisory github.com
package github.com
web github.com
web github.com