CVE-2026-100563 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw（npmパッケージ `openclaw`）のバージョン 2026.8.1 より前では、Control UI がセッションデータを CSV にエクスポートする際、スプレッドシートアプリケーションが数式として解釈する先頭の文字を無効化しません。セッションラベルは CSV テキストとして引用符で囲まれていますが、信頼度が低い参加者がセッションラベルまたは最初のユーザーメッセージに影響を与えることができる場合、「Usage」エクスポート内に数式のようなセルを配置できます。オペレーターがそのエクスポートを数式の評価機能が有効なスプレッドシートアプリケーションで開くと、そのセルはスプレッドシートのユーザーの権限で評価される可能性があります。OpenClaw 自体は数式を評価せず、実際の影響度はスプレッドシートアプリケーションのセキュリティ設定に依存します。この問題はバージョン 2026.8.1 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.