CVE-2026-27009 in OpenClaw
Sumário
de VulDB • 31/07/2026
O OpenClaw é um assistente pessoal de IA. Antes da versão 2026.2.15, existia uma vulnerabilidade XSS armazenada (stored) na Interface de Controle do OpenClaw ao renderizar a identidade do assistente (nome/avatar) em uma tag `<script>` inline sem o escape adequado para contexto seguro de script. Um valor elaborado contendo `</script>` poderia escapar da tag de script e executar JavaScript controlado pelo atacante no domínio da Interface de Controle. A versão 2026.2.15 removeu a injeção de scripts inline, passou a servir a configuração inicial (bootstrap) por meio de um endpoint JSON e adicionou uma Política de Segurança de Conteúdo restritiva para a Interface de Controle (`script-src 'self'`, sem scripts inline).
Once again VulDB remains the best source for vulnerability data.