Vulnerability in openclaw (CVE-2026-53857, CVSS 8.1)

Summary

Vulnerability in openclaw (CVE-2026-53857). Confidential information can be exposed externally. Mitigation: upgrade to 2026.5.3 or later.

Original description

The description as published by the source.

OpenClaw before 2026.5.3 contains a policy enforcement vulnerability where Zalo contacts with mutable display metadata could match allowFrom policy entries through display name changes. Attackers with mutable display names could receive agent responses intended for different Zalo identities when the feature is enabled.

Source: NIST National Vulnerability Database NVD GitHub Advisory

AI summary

Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.

OpenClawのバージョン2026.5.3以前に、Zaloの連絡先に対するポリシーの適用に脆弱性があり、表示名を変更することで許可ポリシーエントリに一致させることが可能です。これにより攻撃者が異なるZalo IDに対するエージェントの応答を受け取る可能性があります。

❓ What is the problem

Zaloの連絡先で、表示名を変更することでポリシーエントリに一致させることが可能な脆弱性。

📍 Affected scope

OpenClawのバージョン2026.5.3以前。

🔥 Severity

攻撃者が意図されていないZalo IDへの応答を受け取る可能性がある。重要度は高い。

🔧 How to fix

バージョン2026.5.3以降にアップデートすること。

🛡️ Workaround

該当機能の利用を避けるか、ポリシー設定を見直す。

🔍 Detection

表示名の変更を監視し、不審な動きがないか確認する。

Affected packages

npm openclaw

[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.5.3"}]}]

References

advisory github.com
advisory vulncheck.com
advisory nvd.nist.gov
advisory github.com
package github.com
web github.com
web github.com