OpenClawのNextcloud Talkプラグインのバージョン2026.2.6より前のバージョンでは、allowlist検証のための変更可能なactor.name表示名フィールドに対して等価マッチングが受け入れられておりました。そのため、攻撃者はDMおよびルームのallowlistを回避できる可能性があります。攻撃者は自身のNextcloud表示名をallowlistに登録されたユーザーIDに変更することで、制限された会話に不正にアクセス可能となります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。