CpenClaw's ACPX Windows wrapper shell fallback allowed cwd injection in specific paths
Summary
On Windows ACPX paths, wrapper resolution for .cmd/.bat could fall back to shell execution in ways that allowed cwd influence to alter execution behavior.
Impact
In affected Windows ACPX configurations, this could enable command execution integrity loss through cwd-influenced wrapper resolution.
Fix
Wrapper resolution now prefers explicit PATH/PATHEXT entrypoint resolution and unwrapped Node/EXE execution, with strict fail-closed handling enabled by default for unresolvable wrapper cases.
Affected and Patched Versions
- Affected:
>= 2026.2.26, < 2026.3.1 - Patched:
2026.3.1
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | openclaw | >= 2026.2.26, < 2026.3.1 | 2026.3.1 |
Referencias
- Vector CVSS
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N- Debilidad (CWE)
CWE-78- Plataforma
- npm
- Paquete
openclaw- Publicada
- 02.03.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-6f6j-wx9w-ff4j - CC BY 4.0
Historial de vulnerabilidades: openclaw
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 588
- Primera → última
- 02.2026 07.2026
- Sin corrección
- 9
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 20
- Alta 215
- Media 299
- Baja 54
Divulgaciones por año
- 2026: 588
-
CpenClaw's ACPX Windows wrapper shell fallback allowed cwd injection in specific paths esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.