JVNDB-2026-020014

OpenClawにおけるパストラバーサルの脆弱性

OpenClaw 2026.4.7以前のバージョンには、認証済みのGatewayオペレーターでoperator.writeスコープを持つユーザーが、メモリウィキのインゲスト機能において任意のファイルを読み取れる脆弱性があります。この脆弱性により、本来のインゲスト元以外のローカルファイルを読み取ることが可能です。operator.writeアクセス権を持つ攻撃者は、任意のローカルファイルパスを指定してファイル内容をウィキメモリにインポートでき、アクセス制限を回避します。

OpenClaw

• OpenClaw 2026.4.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : memory-wiki ingest could read local files with operator.write scope  Advisory  openclaw/openclaw  GitHub

VulnCheck

• VulnCheck : OpenClaw < 2026.4.7 - Arbitrary Local File Read via memory-wiki Ingest with operator.write Scope  | Advisories | VulnCheck

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-53825

1. National Vulnerability Database (NVD) : CVE-2026-53825

• [2026年06月17日]
    掲載