중복 권고: OpenClaw: Exec 환경 차단 목록에 고위험 인터프리터 시작 변수가 누락되었습니다.
이 권고는 GHSA-vfp4-8x56-j7c5와 중복되므로 철회되었습니다. 이 링크는 외부 참조를 보존하기 위해 유지됩니다.
2026.4.10 이전의 OpenClaw에는 VIMINIT, EXINIT, LUA_INIT 및 HOSTALIASES를 포함한 고위험 인터프리터 시작 변수에 대한 운영자 제공 재정의를 허용하는 실행 환경 정책에 환경 변수 차단 목록 취약점이 충분하지 않습니다. 공격자는 이러한 환경 변수를 조작하여 다운스트림 실행 동작이나 네트워크 연결에 영향을 줌으로써 이를 악용할 수 있습니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 88.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 88.00 |
VPI 공식 vpi-v1 기준