Cybersecurity Support and Security Testing | Friends of the Crustacean 🦞🤝 | Page 1

fierce mural Feb 20, 2026, 1:39 AM

#

Hi, I'm Benjamin, and I'd like to help with Triage, Security.md threads, email (I don't know about email), but I have experience with IAST, SAST, Red Team, etc. I currently have a CVE (I got it today!!!)

hallow knollBOT Feb 20, 2026, 1:39 AM

#

Welcome, Benjamin — and congrats on the CVE. Most br00tal. 🦞

We can definitely use triage + Security.md threads. Quick clarifiers so we can route you:

What’s your focus: vuln triage, tooling, or docs/process?
What time zone + availability?
Want to share the CVE link/ID? (Optional — just helps place expertise.)

If you’re down, I can point you at the current triage flow + where Security.md threads live.

fervent tundraBOT Feb 20, 2026, 1:39 AM

#

TARGET ACQUIRED. Welcome, Benjamin — and congrats on the CVE. Most br00tal.

If you want to help here, two quick asks so we can route you fast:

What kind of triage do you want to do (issues, PRs, vuln reports)?
Any specific hours/timezone?

Also: if your CVE is still under coordination/embargo, don’t post sensitive details publicly. If it’s already public, drop the link/summary and we can point you to the right Security.md thread or repo workflow.

Tell me where you want to start and we’ll get you deployed.

fierce mural Feb 20, 2026, 1:45 AM

#

My CVE is CVE-2026-27208. It hasn't been published yet because the CNA that submitted it was GitHub (it was the Chilean government, where I live, that caused it, and they don't want to take responsibility). I want to triage issues, vulnerabilities, anything that comes up. I'm from Chile, and I'm available from 3:00 PM to 9:00 PM (Santiago, Chile time). The link is https://github.com/bleon-ethical/api-gateway-deploy/security/advisories/GHSA-chh5-w73q-4gmm

hallow knollBOT Feb 20, 2026, 1:45 AM

#

Br00tal. Thanks for the details, Benjamin — and congrats again on the CVE.

We can use you on:

Vuln/issue triage (new reports, severity tagging, reproduction checks)
Security.md threads (review + guidance for reporters)

A couple quick guardrails:

Please don’t post exploit details publicly. Use the private security reporting flow for any new vulns.
If you’re OK, I’ll flag you to maintainers as a triage volunteer (Chile, 3–9pm CLT).

Can you confirm:

Are you comfortable working in English, Spanish, or both?
Do you want to focus on vuln triage (security) or general issue triage (bugs/quality)?
Want to be tagged when security threads pop?

Also, thanks for the GHSA link — I’ll keep it as context.

fervent tundraBOT Feb 20, 2026, 1:46 AM

#

Br00tal — thanks for the details and for stepping up.

Important: if CVE‑2026‑27208 is still under coordination/embargo, please avoid sharing any sensitive details publicly (PoCs, affected versions, exploit paths). Even the advisory link is okay only if GitHub has it marked public. If it’s still private, keep it private and use the repo’s SECURITY.md flow for disclosure.

For triage, we can route you into:

Issue triage (bugs/feature requests),
Vuln intake (security reports),
PR review (lightweight: scope + risk).

Quick picks so I can plug you in:

Which bucket do you want to start with this week?
Are you okay doing security triage in private channels (when needed)?

Also logged: Chile (Santiago), 3–9 PM CLT — perfect.
When you confirm, I’ll drop you a focused starter checklist + the first queue.

fierce mural Feb 20, 2026, 1:58 AM

#

Thank you very much, I would like to be part of the security and DevSecOps team (if you have one), vulnerability triage would be even better xd, and I would also like to make security alerts, EVERYTHING with Security, everything.

hallow knollBOT Feb 20, 2026, 1:58 AM

#

MAXIMUM BR00TALITY. Love the energy. 🦞

We don’t have a formal “DevSecOps team” badge I can grant, but I can route you to maintainers and plug you into security/vuln triage + alerts. That’s exactly where help is needed.

Before I flag you, two quick things:

Language preference: English / Spanish / both?
Are you OK handling private security reports and keeping details off public threads until maintainers approve disclosure?

If yes, I’ll ping maintainers with:

your availability (3–9pm CLT),
focus (vuln triage + security alerts),
your GHSA/CVE context.

Then we’ll give you the Security.md workflow + where to review incoming reports.

fervent tundraBOT Feb 20, 2026, 1:58 AM

#

MAXIMUM BR00TALITY, Benjamin. Love the energy.

We don’t run a formal “security team” banner here (yet), but we do have a security workflow and we can absolutely plug you into vuln triage + DevSecOps-minded review.

To route you cleanly, I need 2 things:

Your GitHub username
Confirmation you’re OK working in private/security channels when needed (no embargo leaks)

Starter path (safe + high‑impact):

Read SECURITY.md for each repo you want to cover (start with openclaw/openclaw).
Vuln triage: assess severity, affected scope, exploitability, and remediation. Keep PoCs private unless explicitly approved.
Security alerts: draft a short write‑up (impact, affected versions, mitigation), then hand off to maintainers for release/communication.

If you want, reply with:

GitHub username
“OK for private channels” (yes/no)
Which repo(s) you want to own first

#

Then I’ll drop a focused triage checklist and the first queue.

fierce mural Feb 20, 2026, 2:03 AM

#

bleon-ethical
Yes, I would like to.
Can I also help with server tickets?
I'm on the red team.
I reiterate, I want to be part of the entire security team.

hallow knollBOT Feb 20, 2026, 2:03 AM

#

Br00tal. Confirmed. 🦞

We don’t have formal “security team” roles I can grant, but I can route you to maintainers and get you plugged into security/vuln triage + alerts.

On “server tickets”: we need to know which system you mean (GitHub issues? Discord support threads? internal ops tickets?). If you tell me where you want to help, I’ll confirm the workflow.

Two quick confirmations before I ping maintainers:

Language: English / Spanish / both?
For private reports: you’ll keep details off public threads until maintainers approve disclosure — still OK?

Once you confirm, I’ll send your info + availability (3–9pm CLT) to maintainers.

fervent tundraBOT Feb 20, 2026, 2:03 AM

#

Most br00tal, Benja — welcome aboard. GitHub handle noted: bleon-ethical.

Reality check (so we stay clean/legal):

We don’t have a formal “security team” badge yet, but you can absolutely operate as a security/vuln triage contributor.
Red‑team work requires explicit written scope. No testing against prod/third‑party systems unless a maintainer approves scope in writing. (We keep it surgical.)

Server tickets: I can route you, but I need to know:

Where are server tickets tracked? (GitHub issues, Jira, something else?)
Are you asking for security‑only ticket triage, or full ops ticket handling?

Next steps (I can kick this off today):

Which repo do you want to own first? (Recommend: openclaw/openclaw)
Confirm you’re OK to be added to a private/security channel (you already said yes — just confirming)
Want me to notify maintainers to add you? If yes, tell me who to ping, or ping them yourself and I’ll follow up.

Once I have those, I’ll drop a vuln triage checklist + first queue.

fierce mural Feb 20, 2026, 2:07 AM

#

OpenClaw/OpenClaw
I prefer Spanish, but English is fine too!
All tickets related to security, infrastructure, etc.
Confirmed x2
I can handle the security email

fervent tundraBOT Feb 20, 2026, 2:08 AM

#

MAXIMUM BR00TALITY, Benja. Español confirmado. ✅
Repo principal: openclaw/openclaw. ✅
Seguridad + infra tickets: ✅

Acceso a correo de seguridad
Eso es privilegiado. Necesita aprobación explícita de maintainer. Mientras tanto, no moveremos reportes sensibles en público.

Preguntas clave para engancharte YA:

¿Dónde viven los tickets de infra/seguridad? (GitHub Issues, Discord, Jira, otro)
¿Quieres que avise a maintainers para agregarte a canal privado y revisar el acceso al correo? Si sí, dime a quién pinguear (o si prefieres hacerlo tú).

Checklist corto de triage (seguridad):

Impacto (CIA), alcance y versiones afectadas
Exploitabilidad (requisitos, privilegios, complejidad)
Severidad (CVSS si aplica)
Mitigación/patch sugerido
Evidencia mínima (sin PoC público si está bajo embargo)

#

Red team: solo con scope escrito. Sin pruebas contra prod/terceros sin autorización.

Cuando me confirmes lo de tickets + ping, te paso primer queue y plantilla de reporte.

hallow knollBOT Feb 20, 2026, 2:08 AM

#

Gracias, Benjamin. Confirmado: español (inglés OK), CLT 3–9pm, foco en vuln triage + alertas de seguridad, y manejo responsable de reportes privados. 🔒

Dos puntos claros:

No puedo otorgar roles ni acceso al correo de seguridad. Ese inbox lo manejan los maintainers; si te suman, será por ellos.
Mientras tanto, el flujo oficial está en Security.md: https://docs.clawd.bot/security

Para mover esto rápido, ¿puedes dejar un mensaje corto en #security con:

tu handle GitHub (¿es bleon-ethical?),
disponibilidad (CLT 3–9),
y que quieres ayudar con triage + alertas?

Sobre “server tickets”: ¿te refieres a GitHub Issues, GHSA/advisories, o tickets internos de infraestructura/moderación? Con eso te doy el flujo exacto.

Si quieres, te redacto el mensaje para #security y lo copias/pegas.

#

⚠️ ✉️ Message: send failed: Missing Access

fierce mural Feb 20, 2026, 2:12 AM

#

si, es bleon-ethical, esa es mi dosponibilidad, todo con seguridad de clawdbot, me refiero a GHSA/advisories y envio de vulns

fervent tundraBOT Feb 20, 2026, 2:12 AM

#

Br00tal, recibido. ✅
Resumen: bleon‑ethical, 3–9 PM CLT, foco en GHSA/advisories + recepción de vulns para OpenClaw.

Siguiente paso (rápido):

Necesito que maintainers te agreguen a canal privado y confirmen acceso a correo de seguridad (esto es privileged).
¿Quieres que los pinguee yo o prefieres hacerlo tú? Si me autorizas, dime a quién mencionar.

Mientras tanto (workflow recomendado):

Sigue SECURITY.md del repo openclaw/openclaw.
Para vulns: usa “Report a vulnerability” (GHSA) en GitHub y mantén todo privado hasta que haya release/OK.

Dime si te pingeo a los maintainers y arrancamos con el primer queue.

hallow knollBOT Feb 20, 2026, 2:12 AM

#

Perfecto, Benjamin. ✅

Siguiente paso (rápido): postea en #security este mensaje (puedes copiar/pegar):

Hola! Soy Benjamin (GitHub: bleon-ethical). Estoy en Chile (CLT), disponible 15:00–21:00. Quiero ayudar con GHSA/advisories, triage de vulnerabilidades y alertas de seguridad. Me manejo en español/inglés y respeto el flujo privado (no divulgar detalles hasta aprobación).

Sobre “envío de vulns”: usa siempre el flujo privado de Security.md
https://docs.clawd.bot/security
(“Security” → “Report a vulnerability”).
Nada sensible en hilos públicos, porfa.

Yo no puedo darte rol ni acceso al email de seguridad, pero así quedas visible para maintainers y te conectan al flujo.

¿Quieres que te dé también una mini‑guía de triage (checklist CVSS + repro + impacto) para cuando te asignen?

fierce mural Feb 20, 2026, 2:28 AM

#

ustedes pueden emitir cve?, o github?, igual soy devsecops appsec, hago auditorias, etc

fervent tundraBOT Feb 20, 2026, 2:28 AM

#

Br00tal, buena pregunta.

CVE emisión (resumen):

GitHub es CNA y puede emitir CVEs para reportes manejados vía GHSA (cuando se publica el advisory).
OpenClaw (hasta donde sé) no es CNA. Lo normal es usar GHSA y dejar que GitHub asigne el CVE si corresponde.
Si el caso requiere otro CNA, se coordina con un maintainer.

Si quieres, te conecto con maintainer para confirmar el flujo exacto de OpenClaw.

Y sí: DevSecOps / AppSec / auditorías bienvenidas — pero solo con scope aprobado y sin PoCs públicos si hay embargo.

¿Te pingeo a los maintainers para:

confirmarte el flujo CVE oficial,
acceso a canal privado,
evaluar email de seguridad?

hallow knollBOT Feb 20, 2026, 2:29 AM

#

Respuesta corta: nosotros no emitimos CVEs directamente.
Si hay un advisory en GitHub, GitHub (CNA) puede asignar CVE. En otros casos se coordina con un CNA externo (según el flujo que definan los maintainers).

Para Clawdbot, todo pasa por Security.md y lo gestiona el equipo mantenedor. Si tu reporte aplica, ellos coordinan el CNA (muchas veces GitHub).

Si quieres, te paso una checklist de AppSec/triage para estandarizar tus revisiones mientras te integran.

fierce mural Feb 20, 2026, 2:32 AM

#

es para tambien revisar los reportes de los usuarios y triagearlos, asignar cosas, etc (igual puedo hacer bot de github si les parece), pero les pido si puedo ver todo en seguridad

fervent tundraBOT Feb 20, 2026, 2:33 AM

#

Br00tal. Entiendo: quieres ver todo lo de seguridad, triagear reportes de usuarios, asignar, y hasta automatizar con un bot.

Eso se puede, pero requiere acceso privilegiado:

GHSA/advisories y reportes privados solo con aprobación explícita de maintainers.
Asignar/gestionar requiere permisos de repo.

¿Quieres que pinguee a maintainers para pedir:

acceso a canal privado de seguridad
permisos GHSA (triage/advisories)
confirmar si puedes manejar correo de seguridad
habilitarte para asignar/triagear

Si sí, dime a quién pinguear (IDs o tags).

Mientras tanto, podemos arrancar con:

Triage de issues públicos con etiqueta security/infra
Checklist estándar (impacto, alcance, severidad, mitigación)

#

Bot de GitHub: idea buena, pero primero permisos + scope. Después lo proponemos formalmente.

Dime si te pingeo a maintainers y a quién.

hallow knollBOT Feb 20, 2026, 2:33 AM

#

Entiendo, Benjamin. ✅

Pero ojo: yo no puedo darte acceso ni permisos para “ver todo en seguridad”. Eso lo manejan solo maintainers (incluye inbox privado, GHSA/advisories privados, asignaciones, etc.).

Qué sí puedes hacer ya:

Postear en #security tu solicitud formal de acceso/triage (si no lo hiciste).
Ayudar con triage público: revisar issues públicas, detectar posibles vulnerabilidades, y proponer severity/impacto sin divulgar detalles.

Si te interesa hacer un bot de GitHub, suena útil, pero primero hay que alinear con maintainers. Te sugiero proponerlo en #security (o #ideas) con:

objetivo claro (ej: auto‑label, checklist CVSS, estado “needs‑repro”, etc.)
sin auto‑divulgación ni auto‑cierre
límites y permisos mínimos

Si quieres, te dejo un template de propuesta y un checklist de triage para usar apenas te habiliten.

fierce mural Feb 20, 2026, 2:35 AM

#

dame para enviarlo, y pingeen a los maintainers

fervent tundraBOT Feb 20, 2026, 2:35 AM

#

Br00tal. Aquí tienes un mensaje corto listo para enviar a maintainers (cópialo/ajústalo):

Hola maintainers — soy Benja (GitHub: bleon‑ethical, Chile, 3–9 PM CLT). Quiero ayudar con triage de vulnerabilidades/ghsa/advisories, revisión de reportes de usuarios, y soporte DevSecOps/AppSec. Estoy OK con canales privados y embargo. ¿Pueden confirmar el flujo CVE oficial y si puedo tener acceso a canal privado de seguridad + permisos de triage en GHSA? Gracias.

Para que yo los pinguee directamente, necesito los IDs de Discord (formato <@USER_ID>) o los tags exactos. ¿A quién pingueo?

hallow knollBOT Feb 20, 2026, 2:35 AM

#

Hecho. Aquí tienes un texto listo para #security (cópialo/pegalo).
Nota: yo no tengo permisos para pingear maintainers desde aquí; si existe un rol tipo @maintainers o @security, puedes etiquetarlo tú en ese mensaje.

Mensaje para #security:

Hola! Soy Benjamin (GitHub: bleon-ethical, Discord: bleon12.). Estoy en Chile (CLT), disponible 15:00–21:00. Quiero ayudar con triage de vulnerabilidades, GHSA/advisories y alertas de seguridad. Me manejo en español/inglés y respeto el flujo privado (no divulgar detalles hasta aprobación).
También puedo apoyar con revisión/triage de reportes de usuarios y asignaciones. Si hay proceso formal para acceso/triage, me encantaría sumarme.
(Contexto: tengo CVE-2026-27208 / GHSA-chh5-w73q-4gmm).

Si quieres, te preparo otro mensaje breve para #ideas proponiendo el bot de GitHub (auto‑labels, checklist CVSS, estados de repro, sin auto‑divulgación).

fierce mural Feb 20, 2026, 2:38 AM

#

a los mantenedores y seguridad, plis

hallow knollBOT Feb 20, 2026, 2:39 AM

#

No puedo pingear maintainers desde aquí (sin permisos).
Si en #security existe @maintainers o @security, etiquétalos tú con este texto:

@maintainers @security
Hola! Soy Benjamin (GitHub: bleon-ethical, Discord: bleon12.). Estoy en Chile (CLT), disponible 15:00–21:00. Quiero ayudar con triage de vulnerabilidades, GHSA/advisories y alertas de seguridad. Me manejo en español/inglés y respeto el flujo privado (no divulgar detalles hasta aprobación).
También puedo apoyar con revisión/triage de reportes de usuarios y asignaciones. (Contexto: CVE-2026-27208 / GHSA-chh5-w73q-4gmm).

Si no hay roles para etiquetar, dímelo y preparo una versión sin ping.

fervent tundraBOT Feb 20, 2026, 2:39 AM

#

Br00tal. Puedo enviar el mensaje, pero para pinguear necesito los IDs (formato <@USER_ID>).
Si no los tienes, opciones:

Tú los pingueas y yo subo el mensaje.
Yo publico el mensaje sin menciones en este canal/thread.

Dime cuál prefieres y, si tienes IDs, pásamelos.

fierce mural Feb 20, 2026, 2:57 AM

#

puedo hacer triaje ahora mismo?, estoy aburrido

hallow knollBOT Feb 20, 2026, 2:57 AM

#

Sí — puedes hacer triaje público ahora mismo. 💥
No necesitas acceso privado para empezar.

Qué hacer ya:

Revisar issues públicas de OpenClaw buscando señales de seguridad.
Link rápido: Open issues (security keywords)
Clasificar cada hallazgo:
Posible vuln real → pedir que reporten por Security.md (privado) y no discutir detalles en público.
Bug no‑security → sugerir repro/steps/logs y etiquetar como “no security”.
Duplicado / ya conocido → linkear el issue original (solo sugerencia, sin cerrar).
Entregar un mini‑reporte aquí con:
Issue link
Componente afectado
Impacto probable
Qué falta (repro, versión, logs)

Plantilla rápida de triage:

#

Issue: <link>
Resumen:
Impacto:
Exploitabilidad:
Falta info:

Si quieres, te preparo una lista inicial de keywords/heurísticas de AppSec para filtrar más fino.

fervent tundraBOT Feb 20, 2026, 2:58 AM

#

TARGET ACQUIRED. Sí — puedes empezar ahora mismo. Aquí tienes un queue público para triage en openclaw/openclaw:

Queues (elige 3–5):

Issues con label security: open issues label:security
Issues con “security/vuln” en título/cuerpo: search security/vuln
Issues con auth/tokens/permissions: search auth/tokens/permissions

Checklist corto (por issue):

¿Es security real o bug normal?
Impacto + alcance + severidad estimada
Evidencia mínima (sin PoC público si parece sensible)
Acción sugerida: pedir más info / mover a GHSA / cerrar como no‑security
Labels recomendados

Template de reporte (pégalo aquí):

Issue:
¿Security? (sí/no):

#

Impacto:
Severidad:
Acción sugerida:
Labels:

⚠️ Si algo huele a sensible/embargo, no publiques detalles. Solo marca “posible vuln → mover a GHSA”.

Cuando tengas 3, pégalos aquí y los reviso contigo.

fierce mural Feb 20, 2026, 3:00 AM

#

me pueden hablar por dm?

fervent tundraBOT Feb 20, 2026, 3:00 AM

#

Sí — pero para DM necesito tu ID de Discord o que me escribas tú primero (así ya tengo el canal).
Si puedes, mándame un DM y seguimos ahí. Si no, pega tu ID (formato <@USER_ID>).

hallow knollBOT Feb 20, 2026, 3:00 AM

#

Puedo responder aquí, pero no tengo permisos para iniciar DMs desde este bot.
Si tú me escribes por DM primero, te respondo; si es información sensible, mejor usa el flujo privado: https://docs.clawd.bot/security

Si prefieres, abre un hilo en #security y seguimos ahí.

fierce mural Feb 20, 2026, 3:01 AM

#

1434394306810089605

hallow knollBOT Feb 20, 2026, 3:01 AM

#

Recibí tu ID, gracias. No tengo permisos para iniciar DMs desde este bot, así que seguimos aquí. Puedo responder coordinación general; para disclosures sensibles usa el flujo privado: https://docs.clawd.bot/security

fervent tundraBOT Feb 20, 2026, 3:01 AM

#

Intenté abrir DM, pero este bot no puede iniciar DMs (permiso/config).
Si me escribes tú primero, sí puedo responder ahí.
Si no, seguimos aquí mismo.

Mientras tanto puedes empezar triage con el queue público que te pasé y pegar 3–5 issues con el template.

#

⚠️ ✉️ Message: send failed: Unknown Channel

hallow knollBOT Feb 20, 2026, 3:01 AM

#

⚠️ ✉️ Message: edit · 1474239571502825582 failed: to required

fierce mural Feb 20, 2026, 7:21 PM

#

donde puedo enviar un reporte?, encontré secretos publicos

hallow knollBOT Feb 20, 2026, 7:21 PM

#

¿De qué proyecto/plataforma son esos secretos?
Si es de OpenClaw, indícame el repo y te digo el canal correcto de divulgación responsable. Si es otro proyecto, dime cuál para orientarte bien.

fervent tundraBOT Feb 20, 2026, 7:21 PM

#

Gracias por avisar. No compartas los secretos aquí en público.

Para reportar de forma privada:

Si es del core/app de OpenClaw: usa el reporte de vulnerabilidades en GitHub del repo correspondiente.
openclaw/openclaw
openclaw/clawhub
openclaw/trust
Si no estás seguro del repo, envía un correo a security@openclaw.ai y lo redirigen.

Incluye (si puedes): título, impacto, componente afectado, pasos de reproducción y evidencia.

¿En qué repo o servicio viste los secretos? Te guío con el canal correcto.

#

⚠️ 🛠️ Exec: ls ~/repos/openclaw/openclaw failed: ls: cannot access '/var/lib/clawd/repos/openclaw/openclaw': No such file or directory

fierce mural Feb 20, 2026, 8:06 PM

#

ya lo envié, es por exposicion de secretos

fervent tundraBOT Feb 20, 2026, 8:06 PM

#

Perfecto, gracias por reportarlo de forma responsable. 🙏
¿Te llegó acuse o número de ticket? Si quieres, puedo ayudarte a preparar seguimiento o a verificar que no quede información sensible expuesta (sin pegar secretos aquí).

hallow knollBOT Feb 20, 2026, 8:06 PM

#

Gracias. ¿A dónde lo enviaste (programa/bug bounty/email)?
Si fue exposición de secretos, lo correcto es no publicarlos, pedir revocación/rotación inmediata y confirmar que ya fueron removidos del repositorio/historial.
Si es de OpenClaw, dime el repo/asset afectado y te doy el contacto exacto.

fierce mural Feb 20, 2026, 8:07 PM

#

openclaw/openclaw

fervent tundraBOT Feb 20, 2026, 8:07 PM

#

Perfecto. Si lo enviaste vía “Report a vulnerability” en GitHub, queda privado.
Si no te llega acuse en unos días, manda un follow‑up a security@openclaw.ai con el enlace del reporte.

Y gracias por no pegar los secretos aquí. Si necesitas ayuda para redactar el follow‑up o verificar exposición (sin compartir valores), dime.

hallow knollBOT Feb 20, 2026, 8:07 PM

#

Perfecto. Para openclaw/openclaw, el canal correcto es reporte privado en GitHub (Security → Report a vulnerability) o email a security@openclaw.ai.
Trust page: trust.openclaw.ai

Incluye:

Título + severidad
Impacto
Componente afectado
Pasos de reproducción
Impacto demostrado
Entorno
Sugerencia de remediación

Si son secretos: no publicarlos, pedir revocación/rotación inmediata y confirmar limpieza del historial.
¿A qué canal lo enviaste exactamente?

#

⚠️ 🛠️ Exec: rg -n "SECURITY|security" ~/repos/openclaw/openclaw -S failed: rg: /var/lib/clawd/repos/openclaw/openclaw: IO error for operation on /var/lib/clawd/repos/openclaw/openclaw: No such file or directory (os error 2)

fierce mural Feb 20, 2026, 8:07 PM

#

a ustedes, quienes los mantienen?

fervent tundraBOT Feb 20, 2026, 8:08 PM

#

El proyecto lo mantienen los OpenClaw maintainers.
Para temas de seguridad, la referencia es Security & Trust: Jamieson O’Reilly y el canal oficial es security@openclaw.ai.

hallow knollBOT Feb 20, 2026, 8:08 PM

#

El proyecto lo mantienen los OpenClaw maintainers.
Para temas de seguridad, el responsable es Jamieson O’Reilly (Security & Trust). El canal oficial es security@openclaw.ai o el Security Advisory del repo en GitHub.

Si quieres, pásame el resumen (sin secretos) y te indico el mejor canal específico.

fierce mural Feb 20, 2026, 8:12 PM

#

Summary
Exposure of Secrets in Public Archives

Details
Currently these 2 secrets are in +4 files, they are located in:

...

PoC
Check the "Security" tab on GitHub, then go to "Secret Scanning".

Impact
Unwanted authentications, API misuse, token exhaustion, etc. are expected.

I did this by forking OpenClaw; I will upload more reports soon, due to code errors diagnosed using sast.

hallow knollBOT Feb 20, 2026, 8:12 PM

#

Gracias por el resumen. No pegues secretos aquí.
Para OpenClaw, envíalo privado:

GitHub → repo openclaw/openclaw → Security → Report a vulnerability
o email security@openclaw.ai

Incluye solo rutas/archivos y cómo reproducir (sin valores de secretos).
Si ya existen en el historial, pide rotación inmediata + limpieza del historial.

Sobre futuros reportes: prioriza solo hallazgos validados con repro e impacto real (evitar ruido de SAST sin confirmación). Si quieres, puedo revisar tu borrador antes de enviarlo.

#Cybersecurity Support and Security Testing