BULLETIN D'ALERTES

IMPACT :

• Exécution de code non autorisé ;

• Porter atteinte à la confidentialité des données ;

SYSTÉME AFFECTÉ :

• Cline CLI (via npm) version antérieure à 2.4.0 ;

DÉSCRIPTION :

Le 17 février 2026, entre 11h26 et 19h30 (GMT) environ, les utilisateurs ayant installé ou mis à jour Cline CLI via la ligne de commande ont probablement installé involontairement le package tiers openclaw sur leur système, en raison d’une installation automatique non sollicitée.

Cette situation résulte d’une compromission de la chaîne d’approvisionnement (Supply Chain Attack), où un acteur malveillant a exploité un jeton de publication compromis pour injecter un script postinstall non autorisé dans une version diffusée de Cline.

La vulnérabilité a depuis été corrigée, et les versions sûres du package sont désormais disponibles.

SOLUTION :

Veuillez mettre à jour Cline CLI vers la version v2.4.0 ou supérieure via la commande « npm install -g cline@latest ». Il est également recommandé de désinstaller manuellement le package non sollicité avec « npm uninstall -g openclaw ».

DOCUMENTATION :

• Bulletin de securité: 

https://github.com/cline/cline/security/advisories/GHSA-9ppg-jx86-fqw7