OpenClaw: Paired-device pairing actions were not limited to the caller device

中 5.4CVE-2026-41909 · GHSA-xrq9-jm7v-g9h7 · 23/04/2026 公開 · 17/06/2026 更新

要点

CVE-2026-41909 は openclaw (openclaw), openclaw に影響する深刻度「中」 (CVSS 5.4) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.17%（全脆弱性の 6.6% より高い）。
対処：2026.4.20 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.4.20`	`2026.4.20`
openclaw npm	`< 2026.4.20`	`2026.4.20`

概要

Affected Packages / Versions

Package: openclaw (npm)
Affected versions: < 2026.4.20
Patched version: 2026.4.20

Impact

A paired device session with limited pairing scope could enumerate global pairing state and act on pairing requests that belonged to another device within the same gateway scope ceiling.

This is a same-gateway paired-device authorization bug, not a remote unauthenticated issue. Severity is low.

Fix

Pairing management actions are now limited to the caller device, so non-admin paired-device sessions cannot approve or operate on unrelated pending device requests.

Fix commit:

5a12f30441d5b0b151f550daa2c5c9e8db61e2e6

Release

Fixed in OpenClaw 2026.4.20.

NVD の説明

OpenClaw before 2026.4.20 contains an improper authorization vulnerability in paired-device pairing management that allows limited-scope sessions to enumerate and act on pairing requests. Attackers with paired-device access can approve or operate on unrelated pending device requests within the same gateway scope.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw commit 5a12f30 · WEB
openclaw/openclaw · PACKAGE
vulncheck.com/advisories/openclaw-improper-authorization-in-paired-device-pairing-actions · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.4.20

2026.4.20