CVE-2026-66418

सारांश

OpenClaw Dashboard v3.0.0 में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता मौजूद है जो बिना प्रमाणीकरण वाले दूरस्थ हमलावरों को एक असफल लॉगिन POST अनुरोध में एक क्राफ्टेड उपयोगकर्ता नाम सबमिट करके मनमाना HTML और स्क्रिप्ट पेलोड इंजेक्ट करने की अनुमति देती है, जिसे ऑडिट लॉग में शब्दशः दर्ज किया जाता है। जब कोई व्यवस्थापक अधिसूचना पैनल खोलता है, तो अनएस्केप्ड लॉग प्रविष्टि को एक अनुज्ञेय Content-Security-Policy के साथ innerHTML के माध्यम से रेंडर किया जाता है जो इनलाइन इवेंट हैंडलर की अनुमति देता है, जिससे हमलावर द्वारा आपूर्ति किया गया पेलोड व्यवस्थापक के सत्र में निष्पादित हो सकता है और एजेंट निर्देश फ़ाइल संपादन और कॉन्फ़िगरेशन परिवर्तनों सहित प्रमाणित एंडपॉइंट्स के साथ इंटरैक्ट कर सकता है।

• CVE-2026-66418-OpenClaw-Dashboard-v3.0.0-Stored-XSS-via-Failed-Login-Username-Fieldअनुसंधान

  सुरक्षा परामर्श: बिना प्रमाणीकरण के संग्रहीत क्रॉस-साइट स्क्रिप्टिंग जिसके कारण व्यवस्थापक खाते का अधिग्रहण (openclaw-dashboard)