OpenClaw's Discord component interaction ingress skips guild/channel policy enforcement

中 5.0CVE-2026-41367 · GHSA-jp4j-q5fc-58gv · 28/04/2026 公開 · 24/07/2026 更新

要点

CVE-2026-41367 は openclaw (openclaw), openclaw に影響する深刻度「中」 (CVSS 5.0) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.17%（全脆弱性の 5.8% より高い）。
対処：2026.3.28 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`≥ 2026.2.14, < 2026.3.28`	`2026.3.28`
openclaw npm	`≥ 2026.2.14, < 2026.3.28`	`2026.3.28`

概要

Summary

Discord button and component interaction ingress did not consistently reapply the same guild and channel policy gates used for normal inbound messages.

Impact

Users could trigger privileged component actions from contexts that should have been blocked by Discord channel policy.

Affected Component

extensions/discord/src/monitor/agent-components.ts

Fixed Versions

Affected: >= 2026.2.14, <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit 511093d4b3 (Discord: apply component interaction policy gates).

NVD の説明

OpenClaw versions 2026.2.14 through 2026.3.24 fail to consistently apply guild and channel policy gates to Discord button and component interactions. Attackers can trigger privileged component actions from blocked contexts by bypassing channel policy enforcement.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw commit 511093d · WEB
openclaw/openclaw · PACKAGE
openclaw/openclaw release v2026.3.28 · WEB
vulncheck.com/advisories/openclaw-policy-enforcement-bypass-in-discord-component-interactions · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

≥ 2026.2.14, < 2026.3.28

2026.3.28