Vulnérabilité dans openclaw (CVE-2026-53849, CVSS 8.1)

Résumé

Vulnérabilité dans openclaw (CVE-2026-53849). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2026.5.7 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

Discord allowFrom could bind to mutable display names. In affected versions, a Discord account able to change display or global name metadata could match a policy entry through mutable display metadata.

This advisory is scoped to the named feature and configuration. It does not change OpenClaw's trusted-operator model: authenticated Gateway operators, installed plugins, and intentional local execution surfaces remain trusted unless a separate policy, approval, allowlist, sandbox, or auth boundary is crossed.

Impact

When the affected feature is enabled and reachable, this could receive agent access intended for another Discord identity. Practical impact depends on the operator's configuration and whether lower-trust input can reach that path.

Patched Versions

The first stable patched version is 2026.5.7.

Mitigations

use stable Discord user IDs in allowlists until patched. As general hardening, keep channel and tool allowlists narrow, avoid sharing one Gateway between mutually untrusted users, and disable the affected feature when it is not needed.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé IA

Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.

Une vulnérabilité référencée CVE-2026-53849 a été découverte dans privilege-escalation.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « privilege-escalation CVE-2026-53849 » sur le site de l'éditeur.

CVE-2026-53849 (privilege-escalation) — CWE-290 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Versions affectées : <= 2026.5.6
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Discordアカウントの識別を誤って検証することで、他のアカウントに関連する権限を不正に取得する可能性がある脆弱性。

📍 Périmètre concerné

OpenClaw 2026.5.7以前のバージョン。

🔥 Gravité

攻撃者が表示名を変更することで不正なエージェントアクセスを取得可能になり、重大な権限を持ったアクションを実行できる。

🔧 Comment corriger

OpenClawを2026.5.7以降のバージョンにアップグレードする。

🛡️ Contournement

暫定的な対応策は情報なし。

🔍 Détection

Discordでのエージェントアクセスを持つユーザーの表示名変更の履歴を確認し、不審な変更が行われていないかチェックする。

Paquets affectés

npm openclaw

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.5.7"}]}]