CVE-2026-28474 in OpenClaw

Résumé

par VulDB • 04/06/2026

Le plugin Nextcloud Talk d'OpenClaw, dans les versions antérieures à la 2026.2.6, accepte une correspondance par égalité sur le champ mutable actor.name (nom affiché de l'utilisateur) pour la validation des listes blanches, permettant aux attaquants de contourner les listes blanches des messages directs (DM) et des salons. Un attaquant peut modifier son nom d'affichage Nextcloud afin qu'il corresponde à un ID utilisateur figurant sur une liste blanche et obtenir ainsi un accès non autorisé à des conversations restreintes.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsable: VulnCheck
• Réserver: 27/02/2026
• Divulgation: 06/03/2026
• Modérer: accepté
• Entrée: VDB-349401
• CPE: prêt
• CWE: CWE-863 (confirmé)
• CVSS: 9.8 (CNA)
• EPSS: 0.00489
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-28474
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-28474
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-28474/