OpenClawの2026年5月3日以前のバージョンには、表示名の変更によってmutableな表示メタデータを持つZaloの連絡先がallowFromのポリシーエントリに一致してしまう、ポリシー強制の脆弱性があります。mutableな表示名を持つ攻撃者は、この機能が有効な場合に異なるZaloのIDに対して意図したエージェントの応答を受け取る可能性があります。

ベンダ情報を参照して適切な対策を実施してください。