OpenClawにおける許容された入力値の許可リストに関する脆弱性
| Title |
OpenClawにおける許容された入力値の許可リストに関する脆弱性
|
| Summary |
OpenClawの2026年4月12日以前のバージョンには、不適切な認可の脆弱性があります。この脆弱性は、ヘルパーバックチャネルにおいて空の解決済み承認者リストが明示的な承認権限として誤って解釈される問題です。攻撃者はこの論理的欠陥を悪用し、承認IDを知っている場合に適切な認可なく保留中の承認を解決することが可能です。
|
| Possible impacts |
当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution |
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
May 5, 2026, midnight |
| Registration Date |
May 11, 2026, 10:56 a.m. |
| Last Update |
May 11, 2026, 10:56 a.m. |
|
CVSS3.0 : 警告
|
| Score |
6.5
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
Affected System
| OpenClaw |
|
OpenClaw 2026.4.12 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年05月11日]
掲載 |
May 11, 2026, 10:56 a.m. |
NVD Vulnerability Information
CVE-2026-43574
| Summary |
OpenClaw before 2026.4.12 contains an improper authorization vulnerability in helper-backed channels where empty resolved approver lists are interpreted as explicit approval authorization. Attackers can resolve pending approvals without proper authorization by exploiting this logic flaw if they know an approval id.
|
| Publication Date |
May 5, 2026, 9:16 p.m. |
| Registration Date |
May 6, 2026, 4:07 a.m. |
| Last Update |
May 8, 2026, 2:03 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* |
|
|
|
2026.4.12 |
Related information, measures and tools
Common Vulnerabilities List