There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenClaw is a personal AI assistant. Versions 2026.1.8 through 2026.2.13 have a command injection in the
    maintainer/dev script `scripts/update-clawtributors.ts`. The issue affects contributors/maintainers (or
    CI) who run `bun scripts/update-clawtributors.ts` in a source checkout that contains a malicious commit
    author email (e.g. crafted `@users[.]noreply[.]github[.]com` values). Normal CLI usage is not affected
    (`npm i -g openclaw`): this script is not part of the shipped CLI and is not executed during routine
    operation. The script derived a GitHub login from `git log` author metadata and interpolated it into a
    shell command (via `execSync`). A malicious commit record could inject shell metacharacters and execute
    arbitrary commands when the script is run. Version 2026.2.14 contains a patch. (CVE-2026-26323)

遠端主機上安裝的 OpenClaw AI 助手版本早於 2026.2.14。因此，該主機會受到多個弱點影響，包括：

  - 維護者 clawtributors 更新程式指令碼中的命令插入，允許透過特製的 git 提交作者詮釋資料執行任意命令。(CVE-2026-26323)

  - Gateway 工具接受工具提供的 gatewayUrl，且未施加足夠限制，使得可透過傳出 WebSocket 連線向使用者指定的目標發動 SSRF 攻擊。(CVE-2026-26322)

  - 未設定 telnyx.publicKey 時，選用的 Telnyx webhook 處置程式可接受未簽署的傳入 webhook 要求，進而允許未經驗證的呼叫者偽造 Telnyx 事件。(CVE-2026-26319)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 OpenClaw AI 助手版本低于 2026.2.14。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 维护者 clawtributors 更新程序脚本中存在命令注入漏洞，攻击者可利用此漏洞通过构建的 git 提交作者元数据执行任意命令。(CVE-2026-26323)

  - 网关工具会在没有足够限制的情况下接受工具提供的 gatewayUrl，进而通过与用户指定的目标建立出站 WebSocket 连接来发起 SSRF 攻击。(CVE-2026-26322)

  - 若未配置 telnyx.publicKey，可选 Telnyx webhook 处理程序可接受未签名的入站 webhook 请求，使得未经身份验证的调用程序可以伪造 Telnyx 事件。(CVE-2026-26319)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている OpenClaw AI アシスタントのバージョンは、2026.2.14 より前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - メンテナー clawtributors アップデータースクリプトのコマンドインジェクションにより、細工された git コミット作者メタデータを通じて、任意のコマンドが実行される可能性がありました。(CVE-2026-26323)

  - Gateway ツールが、ツール提供の gatewayUrl を十分な制限なしに受け入れ、ユーザー指定ターゲットへのアウトバウンド WebSocket 接続を介して SSRF を有効にしました。(CVE-2026-26322)

  - telnyx.publicKey が設定されていない場合、オプションの Telnyx webhook ハンドラーは、署名されていないインバウンド webhook リクエストを受け入れる可能性があるため、認証されていない呼び出し元が Telnyx イベントを偽装することが可能でした。(CVE-2026-26319)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the OpenClaw AI assistant installed on the remote host is prior to 2026.2.14. It is, therefore, affected by multiple vulnerabilities, including:

  - A command injection in the maintainer clawtributors updater script allowed arbitrary command execution via crafted     git commit author metadata. (CVE-2026-26323)

  - The Gateway tool accepted a tool-supplied gatewayUrl without sufficient restrictions, enabling SSRF via outbound     WebSocket connections to user-specified targets. (CVE-2026-26322)

  - The optional Telnyx webhook handler could accept unsigned inbound webhook requests when telnyx.publicKey is not     configured, allowing unauthenticated callers to forge Telnyx events. (CVE-2026-26319)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
437756	SCA: security update for openclaw (GHSA-m7x8-2w3w-pr42)	Tenable Cloud Security	SCA Checks	2026/2/18	2026/7/2	high
437756	SCA: security update for openclaw (GHSA-m7x8-2w3w-pr42)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/18	2026/7/2	high
299797	OpenClaw < 2026.2.14 多個弱點	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 多个漏洞	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 複数の脆弱性	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 Multiple Vulnerabilities	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high

検出

プラグインの検索

high

high

high

high

high

high