CVE-2026-66418
严重已发布
OpenClaw Dashboard v3.0.0 通过失败登录用户名栏存储型XSS漏洞
- 已发布
- 2026年7月30日
- 已更新
- 2026年7月31日
- 分配 CNA
- VulnCheck
- 观察到的证据
- 2026年8月10日
初级CVSS
9.3/ 10严重
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X0.5%
低 · 未来 30 天
- 百分位
- 42.4%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
OpenClaw Dashboard v3.0.0 包含一个存储型跨站脚本漏洞，允许未经身份验证的远程攻击者通过在失败的登录 POST 请求中提交特制的用户名来注入任意 HTML 和脚本负载，该用户名会被原样记录在审计日志中。当管理员打开通知面板时，未转义的日志条目会通过 innerHTML 渲染，且内容安全策略（Content-Security-Policy）较为宽松，允许内联事件处理程序，从而使攻击者提供的负载能够在管理员的会话中执行，并与包括代理指令文件编辑和配置更改在内的已认证端点进行交互。
来源
1安全通告：未认证的存储型跨站脚本攻击导致管理员账户接管 (openclaw-dashboard)
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。