CVE-2026-66418

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.3
EPSS: 0.6%
CWE: CWE-79
KEV Durumu: Hayır

Yayım tarihi: 30 Temmuz 2026

Etkilenen: tugcantopaloglu openclaw_agent_dashboard

OpenClaw Dashboard v3.0.0, kimlik doğrulama olmayan uzak saldırganların, düzenlenmiş bir kullanıcı adı göndererek başarısız bir oturum açma POST isteği ile keyfi HTML ve komut dosyası yüklerini enjekte etmesine olanak tanıyan depolanmış bir cross-site scripting zafiyeti içerir. Bu, denetim günlüğüne kelimesi kelimesine kaydedilir. Bir yönetici bildirim panelini açtığında, kaçırılmamış günlükte innerHTML aracılığıyla işlenir ve iç olay işleyicilerine izin veren bir Content-Security-Policy ile birlikte, saldırgan tarafından sağlanan yük, yöneticinin oturumunda çalışır ve ajan talimat dosyası düzenleme ve yapılandırma değişiklikleri dahil olmak üzere kimlik doğrulama yapılan son noktalarla etkileşime girebilir.

Orijinal açıklama (İngilizce)

OpenClaw Dashboard v3.0.0 contains a stored cross-site scripting vulnerability that allows unauthenticated remote attackers to inject arbitrary HTML and script payloads by submitting a crafted username in a failed login POST request, which is recorded verbatim in the audit log. When an administrator opens the notification panel, the unescaped log entry is rendered via innerHTML with a permissive Content-Security-Policy allowing inline event handlers, enabling the attacker-supplied payload to execute in the administrator's session and interact with authenticated endpoints including agent instruction file editing and configuration changes.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.