CVE-2026-66418
Açıklama
OpenClaw Dashboard v3.0.0, başarısız bir login POST isteğinde hazırlanmış bir kullanıcı adı göndererek kimliği doğrulanmamış uzaktan saldırganların rastgele HTML ve betik yükleri enjekte etmesine olanak tanıyan bir kalıcı siteler arası betik çalıştırma (XSS) güvenlik açığı içerir; bu kullanıcı adı denetim günlüğüne olduğu gibi kaydedilir. Bir yönetici bildirim panelini açtığında, kaçış dizisi uygulanmamış günlük girdisi, satır içi olay işleyicilerine izin veren gevşek bir Content-Security-Policy ile innerHTML aracılığıyla işlenir ve saldırgan tarafından sağlanan yükün yöneticinin oturumunda çalışmasını ve ajan talimat dosyası düzenleme ile yapılandırma değişiklikleri dahil olmak üzere kimliği doğrulanmış uç noktalarla etkileşime girmesini sağlar.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| tugcantopaloglu openclaw_agent_dashboard | v ≤ 3.0.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.