← 戻る
CVE-2026-53849
high
CVSS 8.1
OpenClaw: Discord allowFrom could bind to mutable display names
概要
OpenClaw: Discord allowFrom could bind to mutable display names
AI要約 openai / gpt-4o
OpenClaw 2026.5.7以前のバージョンには、Discordアカウントの識別を正しく検証しないことで権限昇格が発生する脆弱性があります。攻撃者は表示名を変え、他人のアカウントに関連付けられた特権を不正に取得できます。
❓ 何が問題か
Discordアカウントの識別を誤って検証することで、他のアカウントに関連する権限を不正に取得する可能性がある脆弱性。
📍 影響範囲
OpenClaw 2026.5.7以前のバージョン。
🔥 重要度
攻撃者が表示名を変更することで不正なエージェントアクセスを取得可能になり、重大な権限を持ったアクションを実行できる。
🔧 修正方法
OpenClawを2026.5.7以降のバージョンにアップグレードする。
🛡️ 暫定回避
暫定的な対応策は情報なし。
🔍 検知方法
Discordでのエージェントアクセスを持つユーザーの表示名変更の履歴を確認し、不審な変更が行われていないかチェックする。
影響パッケージ
npm
openclaw
[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"2026.5.7"}]}]
参照URL
- web https://github.com/openclaw/openclaw/security/advisories/GHSA-cw4q-gqg5-g38h
- web https://www.vulncheck.com/advisories/openclaw-privilege-escalation-via-mutable-discord-display-names-in-allowfrom
- web https://nvd.nist.gov/vuln/detail/CVE-2026-53849
- web https://github.com/advisories/GHSA-p44v-rx83-vjp4
- web https://github.com/advisories/GHSA-cw4q-gqg5-g38h