Vulnerabilidad en openclaw (CVE-2026-27487)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-78 Neutralización incorrecta de elementos especiales usados en un comando de sistema operativo (Inyección de comando de sistema operativo)

Fecha de publicación:

21/02/2026

Última modificación:

23/02/2026

Descripción

OpenClaw es un asistente personal de IA. En las versiones 2026.2.13 e inferiores, al usar macOS, la ruta de actualización de credenciales del llavero de Claude CLI construía un comando de shell para escribir el blob JSON actualizado en el Llavero a través de security add-generic-password -w .... Debido a que los tokens OAuth son datos controlados por el usuario, esto creaba un riesgo de inyección de comandos del sistema operativo. Este problema ha sido solucionado en la versión 2026.2.14.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:L

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Obligatorio
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Bajo