OpenClawにおける不完全なブラックリストに関する脆弱性
| Title |
OpenClawにおける不完全なブラックリストに関する脆弱性
|
| Summary |
OpenClawの2026年5月12日以前のバージョンには、PowerShellのencoded-command処理においてアロウリストのバイパス脆弱性が存在します。この脆弱性により、攻撃者はアロウリストパーサーが認識しない省略されたフラグエイリアスを使用してエンコードされたコマンドを実行できます。リモート認証済みのオペレーターは認識されないencoded-commandのエイリアス形式を使用し、任意のPowerShellコンテンツを実行して実行アロウリストのチェックを回避できます。
|
| Possible impacts |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 12, 2026, midnight |
| Registration Date |
June 16, 2026, 1:35 p.m. |
| Last Update |
June 16, 2026, 1:35 p.m. |
|
CVSS3.0 : 重要
|
| Score |
8.8
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
Affected System
| OpenClaw |
|
OpenClaw 2026.5.12 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月16日]
掲載 |
June 16, 2026, 1:35 p.m. |
NVD Vulnerability Information
CVE-2026-53836
| Summary |
OpenClaw before 2026.5.12 contains an allowlist bypass vulnerability in PowerShell encoded-command handling that allows attackers to execute encoded commands using abbreviated flag aliases not recognized by the allowlist parser. Remote authenticated operators can bypass execution allowlist checks by using unrecognized encoded-command alias forms to execute arbitrary PowerShell content.
|
| Publication Date |
June 13, 2026, 7:16 a.m. |
| Registration Date |
June 14, 2026, 4:11 a.m. |
| Last Update |
June 13, 2026, 7:16 a.m. |
Related information, measures and tools
Common Vulnerabilities List