← Retour
CVE-2026-53849
high
CVSS 8.1
OpenClaw: Discord allowFrom could bind to mutable display names
Résumé
OpenClaw: Discord allowFrom could bind to mutable display names
Résumé IA openai / gpt-4o
Une vulnérabilité référencée **CVE-2026-53849** a été découverte dans privilege-escalation.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « privilege-escalation CVE-2026-53849 » sur le site de l'éditeur.
CVE-2026-53849 (privilege-escalation) — CWE-290 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Versions affectées : `<= 2026.5.6`
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
❓ Quel est le problème
Discordアカウントの識別を誤って検証することで、他のアカウントに関連する権限を不正に取得する可能性がある脆弱性。
📍 Périmètre concerné
OpenClaw 2026.5.7以前のバージョン。
🔥 Gravité
攻撃者が表示名を変更することで不正なエージェントアクセスを取得可能になり、重大な権限を持ったアクションを実行できる。
🔧 Comment corriger
OpenClawを2026.5.7以降のバージョンにアップグレードする。
🛡️ Contournement
暫定的な対応策は情報なし。
🔍 Détection
Discordでのエージェントアクセスを持つユーザーの表示名変更の履歴を確認し、不審な変更が行われていないかチェックする。
Paquets affectés
npm
openclaw
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2026.5.7"}]}]
Références
- web https://github.com/openclaw/openclaw/security/advisories/GHSA-cw4q-gqg5-g38h
- web https://www.vulncheck.com/advisories/openclaw-privilege-escalation-via-mutable-discord-display-names-in-allowfrom
- web https://nvd.nist.gov/vuln/detail/CVE-2026-53849
- web https://github.com/advisories/GHSA-p44v-rx83-vjp4
- web https://github.com/advisories/GHSA-cw4q-gqg5-g38h