| タイトル | OpenClawにおける不正な認証に関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026.3.2以前のバージョンには、agentCommandでDiscordのボイストランスクリプトを処理する際にsenderIsOwnerフラグを渡さず、フラグがデフォルトでtrueになる問題があります。この問題により、所有者でないボイス参加者が、この省略を悪用して、ミックストラストチャネル内のゲートウェイやcron機能を含む所有者専用ツールにアクセスできてしまいます。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年3月19日0:00 |
| 登録日 | 2026年4月21日10:50 |
| 最終更新日 | 2026年4月21日10:50 |
| CVSS3.0 : 重要 | |
| スコア | 7.1 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:H/A:N |
| OpenClaw |
| OpenClaw 2026.3.2 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年04月21日] 掲載 |
2026年4月21日10:50 |
| 概要 | OpenClaw versions prior to 2026.3.2 fail to pass the senderIsOwner flag when processing Discord voice transcripts in agentCommand, causing the flag to default to true. Non-owner voice participants can exploit this omission to access owner-only tools including gateway and cron functionality in mixed-trust channels. |
|---|---|
| 概要 | Versiones de OpenClaw anteriores a 2026.3.2 no pasan el indicador senderIsOwner al procesar transcripciones de voz de Discord en agentCommand, lo que provoca que el indicador se establezca en true por defecto. Los participantes de voz que no son propietarios pueden explotar esta omisión para acceder a herramientas solo para propietarios, incluyendo funcionalidad de gateway y cron en canales de confianza mixta. |
| 公表日 | 2026年3月20日7:16 |
| 登録日 | 2026年4月27日12:17 |
| 最終更新日 | 2026年4月20日22:43 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* | 2026.3.2 | ||||