CVE-2026-35653 in OpenClaw
要約
〜によって VulDB • 2026年05月22日
OpenClaw 2026.3.24 以前には、POST /reset-profile エンドポイントに誤った認可（incorrect authorization）の脆弱性が存在し、operator.write アクセス権を持つ認証済み呼び出し元が browser.request を介してプロファイル変更の制限を回避できます。攻撃者は browser.request 経由で POST /reset-profile を呼び出すことで、実行中のブラウザを停止し、Playwright 接続を閉じ、プロファイルディレクトリをゴミ箱に移動し、意図された特権境界を越えることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.