| タイトル | OpenClawにおける不正な認証に関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年5月6日以前のバージョンには、Telegramのインタラクティブコールバックに認可回避の脆弱性が存在し、認証済みユーザーがcommands.allowFromの検証を回避できます。攻撃者は影響を受けるコールバックを呼び出して、自身を許可された送信者としてマークし、allowlistのチェックが適用される前に、設定されたTelegram送信者制限の外でコマンドの動作をトリガーできます。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月11日0:00 |
| 登録日 | 2026年6月15日11:14 |
| 最終更新日 | 2026年6月15日11:14 |
| CVSS3.0 : 重要 | |
| スコア | 8.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| OpenClaw |
| OpenClaw 2026.5.6 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月15日] 掲載 |
2026年6月15日11:14 |
| 概要 | OpenClaw before 2026.5.6 contains an authorization bypass vulnerability in Telegram interactive callbacks that allows authenticated users to skip commands.allowFrom validation. Attackers can invoke affected callbacks to mark themselves as authorized senders before allowlist checks are applied, triggering command behavior outside configured Telegram sender restrictions. |
|---|---|
| 公表日 | 2026年6月12日6:16 |
| 登録日 | 2026年6月13日4:15 |
| 最終更新日 | 2026年6月13日0:58 |