OpenClaw before 2026.3.8 contains a path traversal vulnerability in the skills download installer that validates the tools root lexically but reuses the mutable path during archive download and copy operations. A local attacker can rebind the tools-root path between validation and final write to redirect the installer outside the intended tools directory.
OpenClaw before version 2026.3.8 contains a path traversal vulnerability in its skills download installer that allows local attackers to redirect file writes outside the intended directory. The vulnerability exists because the application validates the tools root path lexically but reuses a mutable path during subsequent archive operations, creating a time-of-check-time-of-use (TOCTOU) condition.
تحتوي ثغرة TOCTOU (Time-of-Check-Time-of-Use) في OpenClaw على عيب في التحقق من صحة المسار حيث يتم التحقق من جذر الأدوات مرة واحدة ولكن يتم استخدام المسار القابل للتغيير عدة مرات أثناء عمليات التنزيل والنسخ. يمكن لمهاجم محلي استغلال هذا التأخير الزمني بين التحقق والكتابة النهائية لإعادة ربط المسار وتوجيه الملفات إلى مواقع غير مقصودة. هذا قد يؤدي إلى الكتابة فوق الملفات الحساسة أو تثبيت برامج ضارة في مواقع نظام حرجة.
إصدارات OpenClaw السابقة للإصدار 2026.3.8 تحتوي على ثغرة اجتياز المسار في مثبت تنزيل المهارات التي تسمح للمهاجمين المحليين بإعادة توجيه عمليات الكتابة خارج الدليل المقصود. تنشأ الثغرة لأن التطبيق يتحقق من مسار جذر الأدوات بشكل معجمي لكنه يعيد استخدام مسار قابل للتغيير أثناء عمليات الأرشيف اللاحقة.
Upgrade OpenClaw to version 2026.3.8 or later immediately. Implement strict file permission controls on the tools directory to prevent unauthorized modifications. Monitor file system access patterns for suspicious path manipulation attempts. Apply principle of least privilege for user accounts running the installer.
قم بترقية OpenClaw إلى الإصدار 2026.3.8 أو أحدث على الفور. طبق عناصر تحكم صارمة في أذونات الملفات على دليل الأدوات لمنع التعديلات غير المصرح بها. راقب أنماط الوصول إلى نظام الملفات للكشف عن محاولات معالجة المسار المريبة. طبق مبدأ أقل امتياز لحسابات المستخدمين التي تقوم بتشغيل المثبت.