Matrix allowFrom pode ligar a nomes de exibição mutáveis. Nas versões afetadas, uma conta Matrix capaz de mudar os metadados do nome do visor pode coincidir com uma entrada de política através de metadados mutáveis do visor. Esta aconselhamento é oferecido para a funcionalidade e configuração nomeadas. Ele não muda o modelo de operador de confiança da OpenClaw: operadores de gateway autentificados, plug- in instalados e superfícies de execução local intencional permanecem confiáveis a menos que uma política separada, aprovação, lista de autorização, caixa de areia ou limite de auth é cruzada. Quando a funcionalidade afetada estiver ativada e acessível, este poderá receber o acesso do agente destinado a outra identidade Matrix. O impacto prático depende da configuração do operador e se a entrada de confiança inferior pode alcançar esse caminho.
### Versão empalhada. A primeira versão estável com correção é ` 2026.5.7 `. use ID de usuário estável Matrix em listas de autorização até que seja corrigido. Como endurecimento geral, mantenha as listas de permissões de canal e ferramenta estreitas, evite compartilhar um Gateway entre usuários mutuamente desconfiados e desactive a funcionalidade afetada quando não for necessário. Registro de aconselhamento: GHSA- 7 hxm- f 538 - 3 xp 6. Identificadores relacionados: CVE- 2026 - 53811.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 17: 13: 58.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 17: 13: 58.000 Z. Severidade: ALTAMENTE. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/África do Sul:N.
Software afetado e informação de versão: pacote npm openclaw — ECOSYSTEM: introduzido 0, corrigido 2026.5.7. Classificação e evidência: identificadores de fraqueza CWE- 290. O registro contém 4 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.