OpenClaw QQ Bot Extension missing SSRF Protection on All Media Fetch Paths

高 8.5CVE-2026-41914 · GHSA-3fv3-6p2v-gxwj · 28/04/2026 公開 · 17/06/2026 更新

要点

CVE-2026-41914 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 8.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.22%（全脆弱性の 12.4% より高い）。
対処：2026.4.8 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.4.8`	`2026.4.8`
openclaw npm	`< 2026.4.8`	`2026.4.8`

概要

Impact

QQ Bot Extension: Missing SSRF Protection on All Media Fetch Paths.

QQ Bot media download paths were not consistently routed through the SSRF guard and allowlist policy.

OpenClaw is a user-controlled local assistant. This advisory is scoped to the OpenClaw trust model and does not assume a multi-tenant service boundary.

Affected Packages / Versions

Package: openclaw (npm)
Affected versions: <= 2026.4.2
Patched versions: 2026.4.8

Fix

The issue was fixed on main and is available in the patched npm version listed above. The verified fixed tree is commit d7c3210cd6f5fdfdc1beff4c9541673e814354d5.

Verification

The fix was re-checked against main before publication, including targeted regression tests for the affected security boundary.

Credits

Thanks @adithyan-ak for reporting.

NVD の説明

OpenClaw before 2026.4.8 contains a server-side request forgery vulnerability in QQ Bot media download paths that bypass SSRF protection. Attackers can exploit unprotected media fetch endpoints to access internal resources and bypass allowlist policies.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw · PACKAGE
openclaw/openclaw commit d7c3210 · Patch
vulncheck.com/advisories/openclaw-server-side-request-forgery-in-qq-bot-media-fetch-paths · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.4.8

2026.4.8