CVE-2026-66421
ثغرة XSS مخزنة في لوحة تحكم OpenClaw عبر حقل الجلسة lastMessage
- تم النشر
- 30/07/2026
- محدث
- 24/09/2026
- تخصيص CNA
- VulnCheck
- الأدلة المرصودة
- 09/08/2026
CVSS الأساسي
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xمنخفض · الثلاثين يومًا القادمة
- المئوية
- 49.3%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
OpenClaw Dashboard يحتوي على ثغرة تخزين لسيناريوهات البرمجة النصية عبر المواقع (stored XSS) تسمح للمهاجمين عن بُعد غير المصادق عليهم بتنفيذ JavaScript عشوائي في جلسة متصفح المسؤول عن طريق حقن ترميز HTML في رسائل سجل المحادثة الخاص بالوكيل (agent transcript) التي تتم معالجتها عبر واجهة برمجة تطبيقات الجلسات (sessions API). يمكن للمهاجمين صياغة رسالة تحتوي على حمولات معالجات أحداث مضمّنة مثل وسم img مع خاصية onerror ضمن ميزانية العرض المكونة من 60 حرفًا، والتي يتم تخزينها في سجل المحادثة وإدراجها دون تنقية في innerHTML على صفحة الهبوط الافتراضية، مما يسمح بسرقة رموز الجلسة وإجراء استدعاءات غير مصرح بها لنقاط نهاية إدارية مصادق عليها بما في ذلك تعديل ملف تعليمات الوكيل.
المصادر
استشارة أمنية: برمجة نصية عبر المواقع مخزنة في رسائل الوكيل تؤدي إلى سرقة رمز الجلسة (openclaw-dashboard)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.