OpenClaw gateway exec allow-always over-trusts positional carrier executables

高 7.3CVE-2026-41380 · GHSA-p4x4-2r7f-wjxg · 28/04/2026 公開 · 17/06/2026 更新

要点

CVE-2026-41380 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 7.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.12%（全脆弱性の 2.2% より高い）。
対処：2026.3.28 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.3.28`	`2026.3.28`
openclaw npm	`< 2026.3.28`	`2026.3.28`

概要

Summary

Allow-always persistence could trust wrapper carrier executables instead of the actual invoked target when commands were routed through dispatch wrappers.

Impact

A one-time approval could persist a broader future allowlist entry than the operator intended, weakening execution approval boundaries.

Affected Component

src/infra/exec-approvals-allowlist.ts

Fixed Versions

Affected: <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit 9ec44fad39 (Exec approvals: reject wrapper carrier allow-always targets).

NVD の説明

OpenClaw before 2026.3.28 contains an execution approval vulnerability in exec-approvals-allowlist.ts that allows allow-always persistence to trust wrapper carrier executables instead of invoked targets. Attackers can exploit positional carrier executable routing through dispatch wrappers to establish broader allowlist entries than intended, weakening execution approval boundaries.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw commit 9ec44fa · WEB
openclaw/openclaw · PACKAGE
openclaw/openclaw release v2026.3.28 · WEB
vulncheck.com/advisories/openclaw-arbitrary-execution-allowlist-via-wrapper-carrier-executables · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.3.28

2026.3.28