要点
- CVE-2026-35631 は openclaw (openclaw), openclaw に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.22%（全脆弱性の 13.2% より高い）。
- 対処：2026.3.22 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| openclaw | < 2026.3.22
| 2026.3.22
|
| openclaw npm | < 2026.3.22
| 2026.3.22
|
概要
Summary
Mutating internal ACP chat commands missed the operator.admin gate that should separate read-only and mutating control-plane actions.
Affected Packages / Versions
- Package:
openclaw (npm)
- Affected: < 2026.3.22
- Fixed: >= 2026.3.22
- Latest released tag checked:
v2026.3.23-2 (630f1479c44f78484dfa21bb407cbe6f171dac87)
- Latest published npm version checked:
2026.3.23-2
Fix Commit(s)
229426a257e49694a59fa4e3895861d02a4d767f
Release Status
The fix shipped in v2026.3.22 and remains present in v2026.3.23 and v2026.3.23-2.
Code-Level Confirmation
- src/auto-reply/reply/commands-acp.ts now requires operator.admin for mutating internal ACP actions.
- src/auto-reply/reply/commands-acp.test.ts ships regression coverage for non-admin denial and admin success cases.
OpenClaw thanks @tdjackey for reporting.
NVD の説明
OpenClaw before 2026.3.22 fails to enforce operator.admin scope on mutating internal ACP chat commands, allowing unauthorized modifications. Attackers without admin privileges can execute mutating control-plane actions by directly invoking affected ACP commands to bypass authorization gates.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン