CVE-2026-66418
Təsvir
OpenClaw Dashboard v3.0.0 versiyasında autentifikasiya olunmamış uzaq hücumçulara uğurlu olmayan giriş POST sorğusunda xüsusi hazırlanmış istifadəçi adı göndərməklə ixtiyari HTML və skript yüklərini yerləşdirməyə imkan verən saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur; bu məlumat audit loqunda olduğu kimi qeyd edilir. Administrator bildiriş panelini açdıqda, təmizlənməmiş loq yazısı, sətir içi hadisə idarəedicilərinə icazə verən geniş Content-Security-Policy vasitəsilə innerHTML ilə render edilir. Bu, hücumçu tərəfindən təmin edilən yükün administratorun sessiyasında icra olunmasına və agent təlimat fayllarının redaktəsi və konfiqurasiya dəyişiklikləri daxil olmaqla autentifikasiya olunmuş son nöqtələrlə qarşılıqlı əlaqə qurmasına şərait yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| tugcantopaloglu openclaw_agent_dashboard | v ≤ 3.0.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.