| タイトル | OpenClawにおける有効期限後または解放後のリソースの操作に関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年4月23日以前のバージョンでは、SecretRef値に基づく解決済みのWebhookルートシークレットをキャッシュしており、ローテーションおよびリロード後も古いシークレットが有効なままになる可能性があります。以前有効だったWebhookルートシークレットを持つ攻撃者は、ゲートウェイまたはプラグインを再起動するまでリクエストの認証および設定されたWebhookタスクフローの実行を継続できます。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアの一部が停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月11日0:00 |
| 登録日 | 2026年5月15日10:56 |
| 最終更新日 | 2026年5月15日10:56 |
| CVSS3.0 : 警告 | |
| スコア | 6 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:L |
| OpenClaw |
| OpenClaw 2026.4.23 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月15日] 掲載 |
2026年5月15日10:56 |
| 概要 | OpenClaw before 2026.4.23 caches resolved webhook route secrets backed by SecretRef values, allowing stale secrets to remain valid after rotation and reload. Attackers with previously valid webhook route secrets can continue authenticating requests and invoking configured webhook task flows until gateway or plugin restart. |
|---|---|
| 公表日 | 2026年5月12日3:16 |
| 登録日 | 2026年5月12日4:15 |
| 最終更新日 | 2026年5月13日23:14 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* | 2026.4.23 | ||||