ホーム
» GitHub Security Advisories
» GHSA-767m-xrhc-fxm7
説明
Summary
Gateway operator.write Can Reach Admin-Class Telegram Config and Cron Persistence via send
Current Maintainer Triage
Status: narrow
Normalized severity: medium
Assessment: Real shipped operator.write to admin-class Telegram config or cron persistence bug, but it is an authenticated sink-specific escalation and high is too high given the narrower scope.
Affected Packages / Versions
Package: openclaw (npm)
Latest published npm version: 2026.3.31
Vulnerable version range: <=2026.3.24
Patched versions: >= 2026.3.28
First stable tag containing the fix: v2026.3.28
Fix Commit(s)
b7d70ade3b9900dbe97bd73be9c02e924ff3c986 — 2026-03-25T12:12:09-06:00
Release Process Note
The fix is already present in released version 2026.3.28.
This draft looks ready for final maintainer disposition or publication, not additional code-fix work.
Thanks @zpbrent for reporting.
基本情報
タイプ
reviewed
深刻度
high GitHub 上のアドバイザリ
アドバイザリを開く ↗ リポジトリのアドバイザリ
リポジトリのアドバイザリを開く ↗ ソースコード
ソースを見る ↗ 公開（アドバイザリ）
2026-04-07 18:11:15 UTC
更新
2026-05-08 17:58:47 UTC
GitHub レビュー済み
2026-04-07 18:11:15 UTC
EPSS Score
Score
Percentile
0.03%
7.52%
CVSS Scores
Base score
Version
Severity
Vector
7.1
3.1
—
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
クリックして展開
攻撃ベクター (AV:N)
インターネットなど、ルーティングされたネットワーク越しに遠隔から悪用しうる。端末の前にいる必要はない。
攻撃の複雑さ (AC:L)
攻撃者が条件を満たせば、レース条件や珍しい構成に依存せずに再現しやすい。
必要な権限 (PR:L)
一般ユーザー権限があれば足り、管理者（root 相当）は不要。
ユーザーの関与 (UI:N)
メールのリンクを開く、マクロを有効にするなど、被害者の協力がなくても成立しうる。
スコープ (S:U)
影響は脆弱コンポーネントと同一のセキュリティ権限・信頼境界の内側に収まる。
機密性への影響 (C:L)
一部のデータや属性が漏えいしうるが、全件一括流出といった規模には至らない。
完全性への影響 (I:H)
権限の奪取や広範なログ改竄など、システムの信頼根拠を揺るがす改ざんが現実的。
可用性への影響 (A:N)
業務継続に支障が出るレベルの停止や劣化は想定されない。
7.1
4.0
—
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
クリックして展開
攻撃ベクター (AV:N)
インターネットや社内 WAN など、ルーティングされたネットワーク越しに遠隔から踏み台にしうる。
攻撃の複雑さ (AC:L)
手順が短く、再現性が高い。
攻撃要件 (AT:N)
到達性以外に、追加のインフラ条件やデータ前提は要らない。
必要な権限 (PR:L)
一般ユーザー権限で足り、管理者は不要。
ユーザーの関与 (UI:N)
被害者の操作なしでも攻撃が完結しうる。
脆弱システムの機密性への影響 (VC:L)
一部のデータや属性が漏えいしうるが、事業全体としては限定的。
脆弱システムの完全性への影響 (VI:H)
監査ログの改竄や広範なデータ偽装など、信頼根拠を崩す水準。
脆弱システムの可用性への影響 (VA:N)
業務を止めるほどの停止や劣化は想定しにくい。
後続システムの機密性への影響 (SC:N)
脆弱点を経由して下流の機微情報が読まれうる余地はほとんどない。
後続システムの完全性への影響 (SI:N)
下流の記録や設定が歪められる局面はほとんど想定されない。
後続システムの可用性への影響 (SA:N)
下流サービスが止まるほどの影響は想定しにくい。
CWEs
CWE id
Name
CWE-269
Improper Privilege Management
Affected packages (1)
Vulnerable version ranges and first patched releases as published by GitHub.
Ecosystem
Package
Vulnerable range
First patched
Vulnerable functions
npm
openclaw <= 2026.3.24
2026.3.28
—
cvelogic
Threat Intelligence