要点
- CVE-2026-41379 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 7.1) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.24%（全脆弱性の 15.5% より高い）。
- 対処：2026.3.28 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| openclaw | < 2026.3.28
| 2026.3.28
|
| openclaw npm | < 2026.3.28
| 2026.3.28
|
概要
Summary
Gateway operator.write Can Reach Admin-Class Talk Voice Config Persistence via chat.send
Current Maintainer Triage
- Status: narrow
- Normalized severity: medium
- Assessment: Real shipped operator.write to admin-class Talk Voice config persistence bug, but it is the same narrow authenticated persistence class and should be normalized below high.
Affected Packages / Versions
- Package:
openclaw (npm)
- Latest published npm version:
2026.3.31
- Vulnerable version range:
<=2026.3.24
- Patched versions:
>= 2026.3.28
- First stable tag containing the fix:
v2026.3.28
Fix Commit(s)
e34694733fc64931ed4a543c73d84ad3435d5df1 — 2026-03-25T19:55:26Z
Release Process Note
- The fix is already present in released version
2026.3.28.
- This draft looks ready for final maintainer disposition or publication, not additional code-fix work.
Thanks @zpbrent for reporting.
NVD の説明
OpenClaw before 2026.3.28 contains a privilege escalation vulnerability allowing authenticated operators with write permissions to access admin-class Talk Voice configuration persistence. Attackers with operator.write privileges can exploit the chat.send endpoint to reach and modify sensitive voice configuration settings intended for administrators only.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン