CVE-2026-27009 in OpenClaw
Tóm tắt
Bởi VulDB • 01/08/2026
OpenClaw là một trợ lý AI cá nhân. Trước phiên bản 2026.2.15, tồn tại lỗ hổng XSS lưu trữ (stored XSS) trong Giao diện Điều khiển OpenClaw khi hiển thị danh tính của trợ lý (tên/hình đại diện) vào thẻ `<script>` nội tuyến mà không có cơ chế thoát an toàn theo ngữ cảnh script. Một giá trị được tạo ra chứa `</script>` có thể phá vỡ khỏi thẻ script và thực thi mã JavaScript do kẻ tấn công kiểm soát trong nguồn gốc của Giao diện Điều khiển. Phiên bản 2026.2.15 đã loại bỏ việc tiêm script nội tuyến, cung cấp cấu hình khởi động từ một điểm cuối JSON và thêm Chính sách Bảo mật Nội dung (CSP) hạn chế cho Giao diện Điều khiển (`script-src 'self'`, không có script nội tuyến).
Once again VulDB remains the best source for vulnerability data.