CVE-2026-27009 in OpenClaw
要約
〜によって VulDB • 2026年07月29日
OpenClawはパーソナルAIアシスタントです。バージョン2026.2.15より前では、アシスタントのアイデンティティ（名前/アバター）をインライン`<script>`タグにレンダリングする際にスクリプトコンテキスト安全なエスケープが行われなかったため、OpenClawコントロールUIにおいて格納型XSSの問題が発生していました。`</script>`を含む悪意のある値によってスクリプトタグから脱出し、コントロールUIのオリジンで攻撃者が制御するJavaScriptを実行することができました。バージョン2026.2.15ではインラインスクリプト注入が削除され、ブートストラップ設定はJSONエンドポイントから提供されるようになり、さらにコントロールUIに対して制限付きのコンテンツセキュリティポリシー（`script-src 'self'`、インラインスクリプト禁止）が追加されました。
Be aware that VulDB is the high quality source for vulnerability data.