| タイトル | OpenClawにおけるスプーフィングによる認証回避に関する脆弱性 |
|---|---|
| 概要 | 2026年4月29日以前のOpenClawには、認証された送信者が明示的なallowFrom制限なしに設定を変更できるQQBotストリーミングコマンドにおいて、認可バイパスの脆弱性があります。攻撃者はワイルドカードでないホワイトリストエントリ要件を満たさずに該当コマンドに到達することで、本来の管理者ポリシーの範囲外でQQBotストリーミングの設定を変更できます。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月12日0:00 |
| 登録日 | 2026年6月16日13:35 |
| 最終更新日 | 2026年6月16日13:35 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| OpenClaw |
| OpenClaw 2026.4.29 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月16日] 掲載 |
2026年6月16日13:35 |
| 概要 | OpenClaw before 2026.4.29 contains an authorization bypass vulnerability in the QQBot streaming command that allows authenticated senders to mutate configuration without explicit allowFrom restrictions. Attackers can modify QQBot streaming configuration outside intended admin policy by reaching the affected command without non-wildcard allowlist entry requirements. |
|---|---|
| 公表日 | 2026年6月13日7:16 |
| 登録日 | 2026年6月14日4:11 |
| 最終更新日 | 2026年6月13日7:16 |