CVE-2026-66418

Nome do Software Vulnerável e Versões Afetadas OpenClaw Dashboard versão 3.0.0

Descrição Um problema de cross-site scripting armazenado existe onde atacantes remotos não autenticados podem injetar payloads arbitrários de HTML e script. Isso ocorre quando um nome de usuário manipulado é enviado em uma requisição POST de login malsucedida, que é então registrada literalmente no log de auditoria. Quando um administrador abre o painel de notificações, a entrada do log é renderizada usando innerHTML. Devido a uma Content-Security-Policy (uma camada de segurança que ajuda a detectar e mitigar certos tipos de ataques) permissiva que permite manipuladores de eventos inline, o payload é executado na sessão do administrador. Isso permite que o atacante interaja com endpoints autenticados, como a edição de arquivos de instrução de agentes e a modificação de configurações.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.