CVE-2026-66418
OpenClaw Dashboard v3.0.0 XSS Almacenado a través del Campo de Nombre de Usuario en Inicio de Sesión Fallido
- Publicado
- 30 jul 2026
- Actualizado
- 24 sept 2026
- Asignación de CNA
- VulnCheck
- Evidencia observada
- 10 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 49,3 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
OpenClaw Dashboard v3.0.0 contiene una vulnerabilidad de cross-site scripting almacenado que permite a atacantes remotos no autenticados inyectar cargas útiles arbitrarias de HTML y script mediante el envío de un nombre de usuario manipulado en una solicitud POST de inicio de sesión fallida, que se registra textualmente en el registro de auditoría. Cuando un administrador abre el panel de notificaciones, la entrada de registro sin escapar se renderiza mediante innerHTML con una Content-Security-Policy permisiva que permite manejadores de eventos en línea, lo que permite que la carga útil suministrada por el atacante se ejecute en la sesión del administrador e interactúe con endpoints autenticados, incluida la edición de archivos de instrucciones del agente y los cambios de configuración.
Fuentes
Aviso de seguridad: Cross-Site Scripting Almacenado No Autenticado que permite la toma de control de la cuenta de administrador (openclaw-dashboard)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.