| タイトル | OpenClawにおける認証の欠如に関する脆弱性 |
|---|---|
| 概要 | OpenClawの2026年4月10日以前のバージョンには、NostrプラグインのHTTPプロファイルルートにおけるアクセス制御の不備により脆弱性が存在します。これにより、書き込み権限を持つオペレーターが管理者権限を必要とせずにプロファイル設定を永続化できます。operator.writeスコープを持つ攻撃者は、保護されていないミューテーションエンドポイントを通じてNostrプロファイル設定を変更し、不正な設定を永続化することが可能です。 |
| 想定される影響 | 当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月6日0:00 |
| 登録日 | 2026年5月11日10:56 |
| 最終更新日 | 2026年5月11日10:56 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N |
| OpenClaw |
| OpenClaw 2026.4.10 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月11日] 掲載 |
2026年5月11日10:56 |
| 概要 | OpenClaw before 2026.4.10 contains an insufficient access control vulnerability in Nostr plugin HTTP profile routes that allows operators with write permissions to persist profile configuration without requiring admin authority. Attackers with operator.write scope can modify Nostr profile settings through unprotected mutation endpoints to gain unauthorized configuration persistence. |
|---|---|
| 公表日 | 2026年5月7日5:16 |
| 登録日 | 2026年5月8日4:08 |
| 最終更新日 | 2026年5月8日2:04 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:openclaw:openclaw:*:*:*:*:*:node.js:*:* | 2026.4.10 | ||||