OpenClaw 2026.2.6 < 2026.2.14 ディープリンクメッセージの切り捨てmacOSGHSA-7q2j-c4q5-rm27

high Nessus プラグイン ID 299796

Language:

概要

リモートのmacOSホストは、リモートでコードが実行される脆弱性の影響を受けます。

説明

リモートのmacOSホストにインストールされているOpenClawのバージョンは、 2026.2.6 以降ですが 2026.2.14より前です。したがって、以下のリモートコード実行の脆弱性の影響を受けます。

- OpenClaw macOS デスクトップクライアントは、openclaw:// URL スキームを登録します。担当しないキーの openclaw://agent ディープリンクの場合、アプリは確認ダイアログを表示します。このダイアログでは、メッセージの最初の 240 文字のみが表示されますが、ユーザーが [Run] をクリックするとメッセージ全体が実行されます。攻撃者が、メッセージを空白でパディングして、悪意のあるペイロードを表示されるプレビューの外側にプッシュする可能性があります。これにより、ユーザーが実際に実行されるメッセージとは異なるメッセージを承認する可能性が高まります。CVE-2026-26320

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。