| Title | OpenClawにおける情報漏えいに関する脆弱性 |
|---|---|
| Summary | OpenClawクライアントのPKCE検証子情報漏洩の脆弱性です。この脆弱性により、リモートの攻撃者が影響を受けるOpenClawのインストール環境に保存された認証情報を漏洩させることが可能です。攻撃を成功させるためにはユーザの操作が必要であり、対象者がOAuth認可フローを開始しなければなりません。具体的な欠陥はOAuth認可の実装に存在し、認可URLのクエリ文字列内に機密データが露出することに起因します。攻撃者はこの脆弱性を利用して保存された認証情報を取得し、更なる侵害を引き起こす可能性があります。本脆弱性は以前ZDI-CAN-29381として報告されていました。 |
| Possible impacts | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| Solution | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | April 11, 2026, midnight |
| Registration Date | April 30, 2026, 12:29 p.m. |
| Last Update | April 30, 2026, 12:29 p.m. |
| CVSS3.0 : 警告 | |
| Score | 5.3 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N |
| OpenClaw |
| OpenClaw 2026.2.25 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年04月30日] 掲載 |
April 30, 2026, 12:29 p.m. |
| Summary | OpenClaw Client PKCE Verifier Information Disclosure Vulnerability. This vulnerability allows remote attackers to disclose stored credentials on affected installations of OpenClaw. User interaction is required to exploit this vulnerability in that the target must initiate an OAuth authorization flow. The specific flaw exists within the implementation of OAuth authorization. The issue results from the exposure of sensitive data in the authorization URL query string. An attacker can leverage this vulnerability to disclose stored credentials, leading to further compromise. Was ZDI-CAN-29381. |
|---|---|
| Publication Date | April 11, 2026, 10:16 a.m. |
| Registration Date | April 15, 2026, 11:37 a.m. |
| Last Update | April 14, 2026, 12:01 a.m. |