OpenClaw: Gemini OAuth exposed the PKCE verifier through the OAuth state parameter

中 5.9CVE-2026-34511 · GHSA-9jpj-g8vv-j5mf · 03/04/2026 公開 · 24/07/2026 更新

要点

CVE-2026-34511 は openclaw (openclaw), openclaw に影響する深刻度「中」 (CVSS 5.9) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.25%（全脆弱性の 16.1% より高い）。
対処：2026.4.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.4.2`	`2026.4.2`
openclaw npm	`< 2026.4.2`	`2026.4.2`

概要

Summary

Before OpenClaw 2026.4.2, the Gemini OAuth flow reused the PKCE verifier as the OAuth state value. Because the provider reflected state back in the redirect URL, the verifier could be exposed alongside the authorization code.

Impact

Anyone who could capture the redirect URL could learn both the authorization code and the PKCE verifier, defeating PKCE's interception protection for that flow and enabling token redemption.

Affected Packages / Versions

Package: openclaw (npm)
Affected versions: <= 2026.4.1
Patched versions: >= 2026.4.2
Latest published npm version: 2026.4.1

Fix Commit(s)

a26f4d0f3ef0757db6c6c40277cc06a5de76c52f — separate OAuth state from the PKCE verifier

OpenClaw thanks @BG0ECV for reporting.

NVD の説明

OpenClaw before 2026.4.2 reuses the PKCE verifier as the OAuth state parameter in the Gemini OAuth flow, exposing it through the redirect URL. Attackers who capture the redirect URL can obtain both the authorization code and PKCE verifier, defeating PKCE protection and enabling token redemption.

参考情報

openclaw/openclaw security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-34511 · ADVISORY
openclaw/openclaw commit a26f4d0 · WEB
openclaw/openclaw · PACKAGE
vulncheck.com/advisories/openclaw-pkce-verifier-exposure-via-oauth-state-parameter · WEB

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.4.2

2026.4.2