OpenClaw の 2026年4月29日より前のバージョンには、インストールヘルパーにパストラバーサルの脆弱性が存在し、ワークスペースの .env ファイルがバンドルされたランタイム依存関係のインストールに使用される npm_execpath 設定を上書きできる可能性があります。ワークスペースへのアクセス権を持つ攻撃者は、依存関係のセットアップ中に意図しないローカルパッケージマネージャの実行ファイルを実行し、ビルド環境を危険にさらす可能性があります。

ベンダ情報を参照して適切な対策を実施してください。