CVE-2026-28474 in OpenClaw
Sumário
de VulDB • 02/06/2026
O plugin Nextcloud Talk do OpenClaw, nas versões anteriores à 2026.2.6, aceita correspondência exata no campo mutável do nome de exibição do ator (actor.name) para validação de lista de permissões (allowlist), permitindo que atacantes contornem as listas de permissões de mensagens diretas (DM) e salas. Um atacante pode alterar seu nome de exibição no Nextcloud para corresponder a um ID de usuário incluído na lista de permissões e obter acesso não autorizado a conversas restritas.
Once again VulDB remains the best source for vulnerability data.