CVE-2026-66418
OpenClaw Dashboard v3.0.0 XSS Memorizzato tramite Campo Nome Utente di Accesso Fallito
- Pubblicato
- 30 lug 2026
- Aggiornato
- 31 lug 2026
- Assegnazione CNA
- VulnCheck
- Evidenza osservata
- 10 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBasso · prossimi 30 giorni
- Percentile
- 42,4%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
OpenClaw Dashboard v3.0.0 contiene una vulnerabilità di cross-site scripting persistente che consente a utenti remoti non autenticati di iniettare payload HTML e script arbitrari inviando un nome utente appositamente predisposto in una richiesta POST di login fallita, che viene registrato testualmente nel registro di controllo. Quando un amministratore apre il pannello delle notifiche, la voce di registro non escapata viene renderizzata tramite innerHTML con una Content-Security-Policy permissiva che consente gestori di eventi inline, permettendo al payload fornito dall'attaccante di essere eseguito nella sessione dell'amministratore e di interagire con endpoint autenticati, inclusa la modifica dei file di istruzioni dell'agente e le modifiche alla configurazione.
Fonti
1Avviso di Sicurezza: Cross-Site Scripting Memorizzato Non Autenticato che Porta all'Acquisizione dell'Account Amministratore (openclaw-dashboard)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.