OpenClaw has a path traversal in browser trace/download output paths may allow arbitrary file writes
Summary
OpenClaw’s browser control API accepted user-supplied output paths for trace/download files without consistently constraining writes to OpenClaw-managed temporary directories.
Impact
If an attacker can access the browser control API, they could attempt to write trace/download output files outside intended temp roots, depending on process filesystem permissions.
Affected versions
openclaw < 2026.2.13
Fixed versions
openclaw >= 2026.2.13
Remediation
Upgrade to 2026.2.13 or later.
What changed
The fix constrains output paths for:
POST /trace/stopPOST /wait/downloadPOST /download
All three now enforce OpenClaw temp-root boundaries and reject traversal/escape paths.
Credits
Thanks to Adnan Jakati (@jackhax) of Praetorian for responsible disclosure.
Fix shipped in PR #15652 and merged to main on February 13, 2026 (7f0489e4731c8d965d78d6eac4a60312e46a9426).
Fix commit 7f0489e4731c8d965d78d6eac4a60312e46a9426 confirmed on main and in v2026.2.14. Upgrade to openclaw >= 2026.2.13.
Betroffene Software
Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.
| Plattform | Paket | Anfällige Versionen | Behoben in |
|---|---|---|---|
| npm-Paket | openclaw | < 2026.2.13 | 2026.2.13 |
Verweise
- https://github.com/openclaw/openclaw/security/advisories/GHSA-gq9c-wg68-gwj2
- https://nvd.nist.gov/vuln/detail/CVE-2026-28462
- https://github.com/openclaw/openclaw/pull/15652
- https://github.com/openclaw/openclaw/commit/7f0489e4731c8d965d78d6eac4a60312e46a9426
- https://github.com/openclaw/openclaw
- https://www.vulncheck.com/advisories/openclaw-path-traversal-in-trace-and-download-output-paths
- CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N- Schwäche (CWE)
CWE-22- Plattform
- npm
- Paket
openclaw- Veröffentlicht
- 18.02.2026
- Aktualisiert
- 11.10.2026 10:22
Quellen und Lizenzen
OSV / GitHub Advisory Database - GHSA-gq9c-wg68-gwj2 - CC BY 4.0
Schwachstellenhistorie: openclaw
Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.
- Einträge insgesamt
- 588
- Erste → letzte
- 02.2026 07.2026
- Ohne Fix
- 9
- In Angriffen ausgenutzt
- 0
Verteilung nach Schweregrad
- Kritisch 20
- Hoch 215
- Mittel 299
- Niedrig 54
Veröffentlichungen pro Jahr
- 2026: 588
-
OpenClaw has a path traversal in browser trace/download output paths may allow arbitrary file writes dieser Eintrag
Erkennen Sie Schwachstellen in Ihrer Anwendung
Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.