← 戻る
CVE-2026-53843
high
CVSS 8.8
OpenClaw: Pairing-scoped device session could restore revoked node token authority
概要
OpenClaw: Pairing-scoped device session could restore revoked node token authority
AI要約 openai / gpt-4o
OpenClawの2026.5.26より前のバージョンには、承認バイパスの脆弱性があります。この問題により、攻撃者がペアリングされたデバイスを用いて、ノードトークン権限を再取得することが可能です。この脆弱性は、トークンの失効後でもWebSocketノードへのアクセスを許すため、セキュリティ制御を弱体化させます。
❓ 何が問題か
OpenClawの特定のバージョンにおける承認バイパスの脆弱性
📍 影響範囲
OpenClawバージョン2026.5.26以前
🔥 重要度
ペアリングされたデバイスを悪用してノードトークンアクセスを再取得可能で、セキュリティ制御が弱体化される。
🔧 修正方法
OpenClawをバージョン2026.5.26以降にアップデートする。
🛡️ 暫定回避
明示的なパッチがリリースされるまで、セッション制御を強化し、ペアリングスコープのデバイスセッションを再確認する。
🔍 検知方法
影響を受けているバージョン（2026.5.26以前）を使用しているか確認する。
影響パッケージ
npm
openclaw
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.5.26"}]}]
参照URL
- advisory https://nvd.nist.gov/vuln/detail/CVE-2026-53843
- package https://github.com/openclaw/openclaw
- web https://github.com/openclaw/openclaw/security/advisories/GHSA-q99w-vh6v-q3v7
- web https://www.vulncheck.com/advisories/openclaw-node-token-revocation-bypass-via-pairing-scoped-device-session
- web https://github.com/advisories/GHSA-wrmq-9fc4-gwwj
- web https://github.com/advisories/GHSA-q99w-vh6v-q3v7