There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenClaw is a personal AI assistant. Prior to 2026.2.13, the optional BlueBubbles iMessage channel plugin
    could accept webhook requests as authenticated based only on the TCP peer address being loopback
    (`127.0.0.1`, `::1`, `::ffff:127.0.0.1`) even when the configured webhook secret was missing or incorrect.
    This does not affect the default iMessage integration unless BlueBubbles is installed and enabled. Version
    2026.2.13 contains a patch. Other mitigations include setting a non-empty BlueBubbles webhook password and
    avoiding deployments where a public-facing reverse proxy forwards to a loopback-bound Gateway without
    strong upstream authentication. (CVE-2026-26316)

遠端主機上安裝的 OpenClaw AI Assistant 版本比 2026.2.13舊。因此，會受到多個弱點影響：

  - 選用的 BlueBubbles iMessage 通道外掛程式會僅根據要回送的 TCP 對等端位址在經過驗證的情況下接受 webhook 要求即使所設定的 webhook 密碼遺漏或不正確亦然。
    (CVE-2026-26316)

  - 瀏覽器下載協助程式接受未清理的輸出路徑進而允許路徑遊走在透過瀏覽器控制閘道路由叫用時將下載寫入預定的暫時下載目錄之外。 (CVE-2026-26972)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 OpenClaw AI 助手版本低于 2026.2.13。因此，该应用程序受到多个漏洞的影响：

  - 可选的 BlueBubbles iMessage 通道插件可仅根据环回的 TCP 对等机地址将 webhook 请求接受为通过身份验证即使在配置的 webhook 密码缺少或不正确时也是如此。
    (CVE-2026-26316)

  - 浏览器下载帮助程序接受了未清理的输出路径从而允许在通过浏览器控制网关路由调用时遍历路径从而在预期的临时下载目录之外写入下载内容。 (CVE-2026-26972)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている OpenClaw AI アシスタントのバージョンは、 より前です。 2026.2.13 そのため、以下の複数の脆弱性の影響を受けます。

  - オプションの BlueBubbles iMessage チャネルプラグインは、構成された webhook シークレットがないか間違っている場合でも、webhook リクエストを、ループバックである TCP ピアアドレスにのみ認証されて、認証されるものとして受け入れる可能性があります。
    (CVE-2026-26316)

  - ブラウザダウンロードヘルパーがサニタイズされていない出力パスを受け入れ、ブラウザコントロールゲートウェイルートを介して呼び出された場合に、パストラバーサルが意図された一時ダウンロードディレクトリ外にダウンロードを書き込むことが可能でした。CVE-2026-26972

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the OpenClaw AI assistant installed on the remote host is prior to 2026.2.13. It is, therefore, affected by multiple vulnerabilities:

  - The optional BlueBubbles iMessage channel plugin could accept webhook requests as authenticated based only on the     TCP peer address being loopback, even when the configured webhook secret was missing or incorrect.
    (CVE-2026-26316)

  - Browser download helpers accepted an unsanitized output path, allowing path traversal to write downloads outside     the intended temp downloads directory when invoked via browser control gateway routes. (CVE-2026-26972)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
437757	SCA: security update for @openclaw/bluebubbles, openclaw (GHSA-pchc-86f6-8758)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/18	2026/7/2	high
437757	SCA: security update for @openclaw/bluebubbles, openclaw (GHSA-pchc-86f6-8758)	Tenable Cloud Security	SCA Checks	2026/2/18	2026/7/2	high
299795	OpenClaw < 2026.2.13 多個弱點	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299795	OpenClaw < 2026.2.13 多个漏洞	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299795	OpenClaw < 2026.2.13 複数の脆弱性	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299795	OpenClaw < 2026.2.13 Multiple Vulnerabilities	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high