CVE-2026-66421
OpenClaw डैशबोर्ड में lastMessage सत्र फ़ील्ड के माध्यम से संग्रहीत XSS
- प्रकाशित
- 30 जुल॰ 2026
- अद्यतन
- 24 सित॰ 2026
- सीएनए असाइन करना
- VulnCheck
- साक्ष्य देखे गए
- 9 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xकम · अगले 30 दिन
- प्रतिशत
- 49.3%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
OpenClaw Dashboard में एक संग्रहीत क्रॉस-साइट स्क्रिप्टिंग भेद्यता मौजूद है जो बिना प्रमाणीकरण के दूरस्थ हमलावरों को sessions API के माध्यम से संसाधित एजेंट ट्रांसक्रिप्ट संदेशों में HTML मार्कअप इंजेक्ट करके व्यवस्थापक के ब्राउज़र सत्र में मनमाना JavaScript निष्पादित करने की अनुमति देती है। हमलावर 60-वर्ण रेंडरिंग बजट के भीतर onerror विशेषता वाले img टैग जैसे इनलाइन इवेंट हैंडलर पेलोड युक्त एक संदेश तैयार कर सकते हैं, जो सत्र ट्रांसक्रिप्ट में संग्रहीत होता है और डिफ़ॉल्ट लैंडिंग पृष्ठ पर innerHTML में बिना सैनिटाइज़ किए इंटरपोलेट किया जाता है, जिससे सत्र टोकन की चोरी और एजेंट निर्देश फ़ाइल संशोधन सहित प्रमाणित व्यवस्थापकीय एंडपॉइंट्स पर अनधिकृत कॉल संभव हो जाती हैं।
स्रोत
सुरक्षा सलाह: एजेंट संदेशों के माध्यम से संग्रहीत क्रॉस-साइट स्क्रिप्टिंग जिससे सत्र टोकन की चोरी होती है (openclaw-dashboard)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।