← Back
CVE-2026-53849
high
CVSS 8.1
OpenClaw: Discord allowFrom could bind to mutable display names
Summary
OpenClaw: Discord allowFrom could bind to mutable display names
AI summary openai / gpt-4o
OpenClaw 2026.5.7以前のバージョンには、Discordアカウントの識別を正しく検証しないことで権限昇格が発生する脆弱性があります。攻撃者は表示名を変え、他人のアカウントに関連付けられた特権を不正に取得できます。
❓ What is the problem
Discordアカウントの識別を誤って検証することで、他のアカウントに関連する権限を不正に取得する可能性がある脆弱性。
📍 Affected scope
OpenClaw 2026.5.7以前のバージョン。
🔥 Severity
攻撃者が表示名を変更することで不正なエージェントアクセスを取得可能になり、重大な権限を持ったアクションを実行できる。
🔧 How to fix
OpenClawを2026.5.7以降のバージョンにアップグレードする。
🛡️ Workaround
暫定的な対応策は情報なし。
🔍 Detection
Discordでのエージェントアクセスを持つユーザーの表示名変更の履歴を確認し、不審な変更が行われていないかチェックする。
Affected packages
npm
openclaw
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2026.5.7"}]}]
References
- web https://github.com/openclaw/openclaw/security/advisories/GHSA-cw4q-gqg5-g38h
- web https://www.vulncheck.com/advisories/openclaw-privilege-escalation-via-mutable-discord-display-names-in-allowfrom
- web https://nvd.nist.gov/vuln/detail/CVE-2026-53849
- web https://github.com/advisories/GHSA-p44v-rx83-vjp4
- web https://github.com/advisories/GHSA-cw4q-gqg5-g38h