CVE-2026-35660

IMMEDIATE ACTIONS:

1. Identify all OpenClaw deployments running versions before 2026.3.23 across your infrastructure

2. Audit access logs for /reset and /new endpoint calls from operator.write privilege accounts

3. Review session reset events in the past 30 days for anomalies

4. Restrict operator.write role assignments to trusted personnel only



PATCHING:

1. Upgrade OpenClaw to version 2026.3.23 or later immediately

2. Test patches in non-production environments first

3. Schedule maintenance windows for production deployments

4. Verify patch application by checking version numbers post-deployment



COMPENSATING CONTROLS (if immediate patching delayed):

1. Implement network-level access restrictions to /reset endpoint (WAF/API gateway rules)

2. Enable enhanced logging and alerting for /reset endpoint invocations

3. Implement session validation checks requiring multi-factor confirmation for admin session resets

4. Restrict operator.write permissions to minimal required accounts

5. Monitor for suspicious session reset patterns using SIEM



DETECTION RULES:

1. Alert on /reset endpoint calls from operator.write accounts

2. Flag session resets with explicit sessionKey parameters

3. Monitor for rapid successive session reset attempts

4. Track privilege escalation patterns following session resets

الإجراءات الفورية:

1. تحديد جميع نشرات OpenClaw التي تعمل بإصدارات سابقة للإصدار 2026.3.23 عبر البنية التحتية الخاصة بك

2. تدقيق سجلات الوصول لاستدعاءات نقطة النهاية /reset و /new من حسابات امتيازات operator.write

3. مراجعة أحداث إعادة تعيين الجلسة في آخر 30 يومًا للبحث عن الشذوذ

4. تقييد تعيينات دور operator.write للموظفين الموثوقين فقط



التصحيح:

1. ترقية OpenClaw إلى الإصدار 2026.3.23 أو أحدث على الفور

2. اختبار التصحيحات في بيئات غير الإنتاج أولاً

3. جدولة نوافذ الصيانة لنشرات الإنتاج

4. التحقق من تطبيق التصحيح بفحص أرقام الإصدارات بعد النشر



الضوابط البديلة (إذا تأخر التصحيح الفوري):

1. تنفيذ قيود الوصول على مستوى الشبكة لنقطة النهاية /reset (قواعد WAF/بوابة API)

2. تفعيل السجلات المحسنة والتنبيهات لاستدعاءات نقطة النهاية /reset

3. تنفيذ فحوصات التحقق من الجلسة التي تتطلب تأكيدًا متعدد العوامل لإعادة تعيين جلسة المسؤول

4. تقييد صلاحيات operator.write للحسابات المطلوبة بالحد الأدنى

5. مراقبة أنماط إعادة تعيين الجلسة المريبة باستخدام SIEM



قواعد الكشف:

1. تنبيه عند استدعاءات /reset من حسابات operator.write

2. وضع علامة على إعادة تعيين الجلسة باستخدام معاملات sessionKey صريحة

3. مراقبة محاولات إعادة تعيين الجلسة المتتالية السريعة

4. تتبع أنماط تصعيد الامتيازات بعد إعادة تعيين الجلسة