OpenClawの2026年5月26日以前のバージョンには、ホスト環境サニタイザーの不十分なサニタイズによる脆弱性が存在し、Node.jsの制御変数が検証を回避できる問題があります。ワークスペースの.envファイル、ツール環境のオーバーライド、またはスキル環境ブロックにアクセスできる攻撃者は、悪意のあるNode.js制御変数を渡して子プロセスやカバレッジ出力パスに影響を与えることが可能です。

ベンダ情報を参照して適切な対策を実施してください。