OpenClawにおけるサーバサイドのリクエストフォージェリの脆弱性
| Title |
OpenClawにおけるサーバサイドのリクエストフォージェリの脆弱性
|
| Summary |
OpenClawの2026年4月22日以前のバージョンには、ZaloプラグインのsendPhoto機能にサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。この機能はSSRFガードを通じて送信される写真のURLを適切に検証できません。攻撃者は悪意のある写真URLをZalo Bot APIに提供することでSSRF保護を回避し、内部リソースに不正アクセスできる可能性があります。
|
| Possible impacts |
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 6, 2026, midnight |
| Registration Date |
May 11, 2026, 10:55 a.m. |
| Last Update |
May 11, 2026, 10:55 a.m. |
|
CVSS3.0 : 重要
|
| Score |
8.6
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N |
Affected System
| OpenClaw |
|
OpenClaw 2026.4.22 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月11日]
掲載 |
May 11, 2026, 10:55 a.m. |
NVD Vulnerability Information
CVE-2026-44116
| Summary |
OpenClaw before 2026.4.22 contains a server-side request forgery vulnerability in the Zalo plugin's sendPhoto function that fails to validate outbound photo URLs through the SSRF guard. Attackers can bypass SSRF protection by providing malicious photo URLs to the Zalo Bot API, enabling unauthorized access to internal resources.
|
| Publication Date |
May 7, 2026, 5:16 a.m. |
| Registration Date |
May 8, 2026, 4:08 a.m. |
| Last Update |
May 8, 2026, 2:07 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* |
|
|
|
2026.4.22 |
Related information, measures and tools
Common Vulnerabilities List