Vulnerabilidad · Publicado 26/09/2026
OpenClaw versions anteriores a 2026.7.1 contienen una vulnerabilidad de evasión de sandbox (CVSS 8.3) que permite a atacantes con control sobre entrada de agentes sandboxed acceder a acciones de nodos navegadores emparejados, eludiendo la configuración allowHostControl=false. Esto posibilita inspeccionar y manipular perfiles de navegador conectados y sesiones autenticadas, comprometiendo sistemas en entornos cloud y on-premise usados por empresas en LATAM. La vulnerabilidad afecta especialmente a infraestructuras que deleguen automatización a agentes sandboxed sin validación de contexto.
OpenClaw versions before 2026.7.1 contain a sandbox bypass vulnerability in the browser tool that allows sandboxed sessions to access paired node browser actions despite allowHostControl=false configuration. Attackers with control over sandboxed agent input can select a paired node and perform host browser operations, inspecting or manipulating the connected browser profile and its authenticated state.
Score: 8.3/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
CWE-863
Publicado en NIST NVD.