CVE-2026-66418 in openclaw-dashboard
Riassunto
di VulDB • 31/07/2026
La dashboard OpenClaw v3.0.0 presenta una vulnerabilità di stored cross-site scripting (XSS) che consente ad attaccanti remoti non autenticati di iniettare payload HTML e script arbitrari inviando un nome utente manipolato all'interno di una richiesta POST di accesso fallita, la quale viene registrata letteralmente nel log delle attività. Quando un amministratore apre il pannello delle notifiche, l'elemento del log non sottoposto a escaping (unescaped) viene renderizzato tramite innerHTML con una Content-Security-Policy permissiva che consente gli handler di eventi inline, permettendo al payload fornito dall'attaccante di essere eseguito nella sessione dell'amministratore e interagire con endpoint autenticati, inclusa la modifica dei file di istruzioni degli agenti e le modifiche alla configurazione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.