CVE-2026-66418 in openclaw-dashboard
Zusammenfassung
von VulDB • 30.07.2026
Das OpenClaw Dashboard v3.0.0 enthält eine gespeicherte Cross-Site-Scripting-(XSS)-Schwachstelle, die nicht authentifizierten Remote-Angriffspartnern ermöglicht, beliebige HTML- und Skript-Payloads einzufügen, indem sie einen manipulierten Benutzernamen in einer POST-Anfrage für fehlgeschlagene Anmeldungen einreichen. Dieser wird unverändert im Audit-Log aufgezeichnet. Wenn ein Administrator das Benachrichtigungsfenster öffnet, wird der nicht maskierte Log-Eintrag über innerHTML gerendert; da die Content-Security-Policy (CSP) inline Event Handler zulässt, kann die vom Angreifer bereitgestellte Payload in der Sitzung des Administrators ausgeführt werden und mit authentifizierten Endpunkten interagieren, einschließlich der Bearbeitung von Agent-Anweisungsdateien und Konfigurationsänderungen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.