There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenClaw is a personal AI assistant. Prior to version 2026.2.14, authenticated attackers can read
    arbitrary files from the Gateway host by supplying absolute paths or path traversal sequences to the
    browser tool's `upload` action. The server passed these paths to Playwright's `setInputFiles()` APIs
    without restricting them to a safe root. An attacker must reach the Gateway HTTP surface (or otherwise
    invoke the same browser control hook endpoints); present valid Gateway auth (bearer token / password), as
    required by the Gateway configuration (In common default setups, the Gateway binds to loopback and the
    onboarding wizard generates a gateway token even for loopback); and have the `browser` tool permitted by
    tool policy for the target session/context (and have browser support enabled). If an operator exposes the
    Gateway beyond loopback (LAN/tailnet/custom bind, reverse proxy, tunnels, etc.), the impact increases
    accordingly. Starting in version 2026.2.14, the upload paths are now confined to OpenClaw's temp uploads
    root (`DEFAULT_UPLOAD_DIR`) and traversal/escape paths are rejected. (CVE-2026-26329)

遠端主機上安裝的 OpenClaw AI 助手版本早於 2026.2.14。因此，該主機會受到多個弱點影響，包括：

  - 維護者 clawtributors 更新程式指令碼中的命令插入，允許透過特製的 git 提交作者詮釋資料執行任意命令。(CVE-2026-26323)

  - Gateway 工具接受工具提供的 gatewayUrl，且未施加足夠限制，使得可透過傳出 WebSocket 連線向使用者指定的目標發動 SSRF 攻擊。(CVE-2026-26322)

  - 未設定 telnyx.publicKey 時，選用的 Telnyx webhook 處置程式可接受未簽署的傳入 webhook 要求，進而允許未經驗證的呼叫者偽造 Telnyx 事件。(CVE-2026-26319)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 OpenClaw AI 助手版本低于 2026.2.14。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 维护者 clawtributors 更新程序脚本中存在命令注入漏洞，攻击者可利用此漏洞通过构建的 git 提交作者元数据执行任意命令。(CVE-2026-26323)

  - 网关工具会在没有足够限制的情况下接受工具提供的 gatewayUrl，进而通过与用户指定的目标建立出站 WebSocket 连接来发起 SSRF 攻击。(CVE-2026-26322)

  - 若未配置 telnyx.publicKey，可选 Telnyx webhook 处理程序可接受未签名的入站 webhook 请求，使得未经身份验证的调用程序可以伪造 Telnyx 事件。(CVE-2026-26319)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている OpenClaw AI アシスタントのバージョンは、2026.2.14 より前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - メンテナー clawtributors アップデータースクリプトのコマンドインジェクションにより、細工された git コミット作者メタデータを通じて、任意のコマンドが実行される可能性がありました。(CVE-2026-26323)

  - Gateway ツールが、ツール提供の gatewayUrl を十分な制限なしに受け入れ、ユーザー指定ターゲットへのアウトバウンド WebSocket 接続を介して SSRF を有効にしました。(CVE-2026-26322)

  - telnyx.publicKey が設定されていない場合、オプションの Telnyx webhook ハンドラーは、署名されていないインバウンド webhook リクエストを受け入れる可能性があるため、認証されていない呼び出し元が Telnyx イベントを偽装することが可能でした。(CVE-2026-26319)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the OpenClaw AI assistant installed on the remote host is prior to 2026.2.14. It is, therefore, affected by multiple vulnerabilities, including:

  - A command injection in the maintainer clawtributors updater script allowed arbitrary command execution via crafted     git commit author metadata. (CVE-2026-26323)

  - The Gateway tool accepted a tool-supplied gatewayUrl without sufficient restrictions, enabling SSRF via outbound     WebSocket connections to user-specified targets. (CVE-2026-26322)

  - The optional Telnyx webhook handler could accept unsigned inbound webhook requests when telnyx.publicKey is not     configured, allowing unauthenticated callers to forge Telnyx events. (CVE-2026-26319)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名稱	產品	系列	已發布	已更新	嚴重性
437784	SCA: security update for openclaw (GHSA-cv7m-c9jx-vg7q)	Tenable Cloud Security	SCA Checks	2026/2/18	2026/7/6	high
437784	SCA: security update for openclaw (GHSA-cv7m-c9jx-vg7q)	Tenable Self-Hosted Container Security	SCA Checks	2026/2/18	2026/7/6	high
299797	OpenClaw < 2026.2.14 多個弱點	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 多个漏洞	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 複数の脆弱性	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high
299797	OpenClaw < 2026.2.14 Multiple Vulnerabilities	Nessus	Artificial Intelligence	2026/2/23	2026/2/27	high

偵測

搜尋 Plugin

high

high

high

high

high

high