脆弱性情報（JVN）検索・一覧

Azure Cloud Shellにおけるコマンドで使用される特殊要素の不適切な中和（「コマンドインジェクション」）により、認証されていない攻撃者がネットワーク上でなりすましを行うことが可能となります。

Azure AI Foundry M365の公開エージェントにおける不適切なアクセス制御により、認証されていない攻撃者がネットワーク経由で権限を昇格させることが可能となります。

CoreDNSはGo言語で書かれたDNSサーバーです。バージョン1.14.3より前のバージョンでは、gRPC、QUIC、DoH、およびDoH3のトランスポート実装においてTSIG認証の処理が正しく行われていません。gRPCおよびQUICの場合、サーバーはTSIGキー名が設定に存在するかを確認しますが、dns.TsigVerify()を呼び出してHMACを検証しません。キー名が設定されたキーと一致すると、tsigStatusフィールドはnilのままで、tsigプラグインはMACの値に関係なくリクエストを認証済みとして処理します。DoHおよびDoH3の場合は問題がさらに深刻で、DoHWriter.TsigStatus()メソッドは無条件にnilを返し、サーバーはTSIGレコードを全く検査しません。TSIGレコードを含むリクエストは、キー名が無効でMACが任意であってもDoHおよびDoH3上で認証済みとして扱われます。認証されていないネットワーク攻撃者はこれを悪用して、AXFR/IXFRゾーン転送、動的DNS更新、その他TSIGで制御されているプラグインの機能をバイパスできます。DoHおよびDoH3のバリアントは、攻撃者が有効なTSIGキー名を知る必要がないため、悪用のハードルが低くなっています。この問題はバージョン1.14.3で修正されています。回避策としては、TSIG認証が必要な場合にgRPC、QUIC、DoH、およびDoH3リスナーを無効化するか、影響を受けるトランスポートポートへのネットワークレベルのアクセスを信頼されたソースのみに制限してください。

Kestra v1.3.3以前にはSQLインジェクションの脆弱性が存在します。この脆弱性は、ユーザーが制御するGETパラメータの入力が適切に検証されず、パラメータ化もされないまま直接SQLクエリに連結されるために発生します。その結果、攻撃者は任意のSQL式をデータベースクエリに注入できるようになります。

PraisonAIはマルチエージェントチームシステムです。バージョン4.6.9以前のPraisonAIでは、MCPコマンド処理のparse_mcp_command()関数にコマンドの許可リストや引数の検証が追加されておらず、bashやpython、または.inlineコード実行フラグを持つ/bin/shなどの任意の実行ファイルがサブプロセスとして実行されてしまう問題がありました。この問題はバージョン4.6.9で修正されました。

electermはオープンソースの端末、SSH、SFTP、Telnet、シリアルポート、RDP、VNC、Spice、FTPクライアントです。バージョン3.3.8以前のelectermには、github.com/electerm/electerm/npm/install.jsの150行目にコマンドインジェクションの脆弱性が存在していました。runMac()関数は攻撃者が制御するリモートのreleaseInfo.nameを検証せずに、直接exec("open ...")コマンドに追加していました。この問題はバージョン3.3.8で修正されました。

electermはオープンソースのターミナル/SSH/SFTP/Telnet/シリアルポート/RDP/VNC/Spice/FTPクライアントです。バージョン3.3.8以前のgithub.com/elcterm/electerm/npm/install.jsの130行目にコマンドインジェクションの脆弱性があります。runLinux()関数は、攻撃者が制御可能なリモートバージョン文字列を検証せずにexec("rm -rf ...")コマンドに直接連結してしまいます。この問題はバージョン3.3.8で修正されました。

OpenC3 COSMOSは、1つまたは複数の組み込みシステムにコマンドを送信し、データを受信するための機能を提供します。バージョン6.7.0から7.0.0-rc3未満の間、COSMOSの時系列データベース（TSDB）コンポーネントにSQLインジェクションの脆弱性が存在していました。cvt_model.rbファイルのtsdb_lookup関数は、ユーザーから提供された入力をサニタイズせずに直接SQLクエリに埋め込んでいます。その結果、ユーザーは初期のSQL文から抜け出し、任意のSQLコマンドを実行でき、データの削除なども可能になります。この問題はバージョン7.0.0-rc3で修正されました。

LiteLLMは、OpenAI（またはネイティブ）形式のLLM APIを呼び出すプロキシサーバー（AIゲートウェイ）です。バージョン1.81.16から1.83.7未満の間、プロキシのAPIキー確認時に使用されるデータベースクエリで、呼び出し元が提供したキーの値が別のパラメータとして渡されずにクエリテキストに混入していました。認証されていない攻撃者が特別に細工したAuthorizationヘッダーを任意のLLM APIルート（例えばPOST /chat/completions）に送信し、プロキシのエラーハンドリング経路を介してこのクエリに到達することが可能でした。攻撃者はプロキシのデータベースからデータを読み取ることができ、場合によってはこれを改ざんすることもできました。これにより、プロキシおよび管理している資格情報への不正アクセスが発生する恐れがありました。この問題はバージョン1.83.7で修正されています。

OpenEXRは、映画産業向けの画像保存フォーマットであるEXRファイルフォーマットの仕様および参照実装を提供します。バージョン3.0.0から3.2.9未満、3.3.0から3.3.11未満、および3.4.0から3.4.11未満の間、IDManifest::init()はプレフィックス圧縮された表現から文字列を再構築します。前の文字列が255バイトを超える場合、次の文字列は2バイトのプレフィックス長で始まることが期待されます。しかし、コードは現在の文字列が少なくとも2バイトあるかを確認せずにstringList[i][0]とstringList[i][1]を読み取っています。この問題はバージョン3.2.9、3.3.11、および3.4.11で修正されました。

OpenEXRは映画産業向けの画像保存フォーマットであるEXRファイルフォーマットの仕様と参照実装を提供しています。バージョン3.0.0から3.2.9未満、3.3.0から3.3.11未満、および3.4.0から3.4.11未満において、readVariableLengthInteger()関数は信頼できないEXR入力から可変長整数をデコードする際にシフト回数の上限を設けていません。連続バイトが十分に続くと、64ビット値に対して70ビットの左シフトを実行し、この動作は未定義となります。この問題はバージョン3.2.9、3.3.11、および3.4.11で修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：ipv6のicmpのip6_err_gen_icmpv6_unreach()内でskb2-cb[]をクリアする問題です。Sashiko AIレビューでは、ip6_err_gen_icmpv6_unreach()におけるskbは外側のIPv4 ICMPエラーパケットであり、そのcbにはIPv4のinet_skb_parmが含まれていることが観察されました。skbがskb2にクローンされicmp6_send()に渡される際、IP6CB(skb2)が使用されます。IP6CBはIPv4のinet_skb_parmをinet6_skb_parmとして解釈します。inet_skb_parm.opt内のcipsoオフセットは、オフセット18のinet6_skb_parmのdsthaoと直接重なっています。攻撃者がCIPSO IPオプション付きの偽造ICMPv4エラーを送信した場合、dsthaoは非ゼロのオフセットとなります。icmp6_send()内でmip6_addr_swap()が呼ばれ、ipv6_find_tlv(skb, opt-dsthao, IPV6_TLV_HAO)が使用されます。これにより、そのオフセットから始まる攻撃者制御の内部IPv6パケットがスキャンされ、残りのパケット長が18バイトのstruct ipv6_destopt_hao全体を保持できるか確認せずに偽のTLVを返す可能性があります。mip6_addr_swap()がパケットデータの終端を超えてskb_shared_infoまで16バイトのスワップを実行することがあります。このため、ip6_err_gen_icmpv6_unreach()およびip6ip6_err()内でcb配列もクリアすべきです。今回のパッチは最初の提案を実装しています。ip6ip6_err()の変更が必要かは不明であり、別途パッチを適用することが望ましいです。

Linuxカーネルにおいて、以下の脆弱性が修正されました：net: ti: icssg-pruethにおけるZC RXディスパッチのデータコピー漏れおよび誤ったリサイクルを修正しました。emac_dispatch_skb_zc()はnapi_alloc_skb()を使って新しいskbを割り当てますが、XDPバッファからパケットデータをskbにコピーしていなかったため、skbは実際に受信したパケットではなく初期化されていないヒープメモリを含んだ状態で上位に渡され、カーネルヒープの内容がユーザースペースに漏洩する問題がありました。そこで、skb_copy_to_linear_data()を使用してXDPバッファから受信パケットデータをskbにコピーするように修正しました。さらに、skbはNAPIのページフラグメントアロケータにより管理されておりpage_poolのものではないため、skb_mark_for_recycle()の呼び出しを削除しました。非page_poolのskbをリサイクル対象にマークすると、解放パスで所有していないページをpage_poolに返却してしまい、page_poolの状態を破壊してしまうからです。非ZCパス（emac_rx_packet）はnapi_build_skb()を使い、直接page_poolのページをラップしてコピーを不要としており、page_pool_dev_alloc_pages()由来のページを正しくリサイクル対象にマークしているため、この問題は発生しません。

Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのnft_set_pipapo_avx2において、期限切れ時に非一致エントリを返さないようにする新しいテストケースがavx2のマッチング関数を使用すると予期せず失敗します。テストは最初に「ipv4 . port」キーを持つランダムに生成されたpipapoセットを読み込み、正常に動作します。その後、フラッシュ後にセットを再読み込みします：(echo flush set t s; cat foo) | nft -f -。期待されるのは同じセットで動作することですが、avx2では失敗し、nftは要素の衝突を報告します。報告された衝突は次の形を取ります：a . bとc . dを正常に再挿入し、その後a . dを挿入しようとします。avx2は既に存在するa . dを見つけますが（"flush set"のため新世代では無効としてマークされています）、要素をスキップして次に進みます。不適切なマスキングにより、スキップステップは最初のフィールドのみを考慮して次の一致要素a . bを返します。このため、最後のフィールドが異なるにもかかわらず、本来はマッチすべきでないエントリを返してしまいます。ジェネリックなC実装（avx2なし）や最後のフィールドで'nft_pipapo_avx2_lookup_slow'フォールバックを使う場合、このエラーは発生しません。バイセクションは7711f4bb4b36（"netfilter: nft_set_pipapo: fix range overlap detection"）に関連しますが、その修正は単にこのバグを露呈しただけです。このコミット以前は誤った要素が返されていましたが、誤って完全な重複として報告されていました。根本原因はavx2のマッチ関数における早すぎるリターンにあります。最後のフィールドを処理するときは、全入力サイズが完全に消費されるまで処理を続け、マップに古いビットが残らないようにすべきです。

Linuxカーネルにおいて、以下の脆弱性が修正されました。btrfsのトレースポイントにおいて、イベントbtrfs_sync_file()でdentryから正しいスーパーブロックを取得する問題です。overlayがbtrfsの上に使用されている場合、dentry-d_sbはoverlayのスーパーブロックを指し、その結果、fsidの割り当てがクラッシュを引き起こしていました。常にbtrfs_sbを取得するためにfile_inode(file)-i_sbを使用するように修正されました。

Linuxカーネルにおいて、以下の脆弱性が修正されました。dlm_search_rsb_tree関数における長さの検証が不足していました。具体的には、dlm_dump_rsb_name()のlenパラメータは検証されず、ネットワークメッセージから直接取得されていました。もしこの値がDLM_RESNAME_MAXLENを超える場合、dlm_search_rsb_tree()内で境界外書き込みが発生する可能性があります。潜在的なバッファオーバーフローを防ぐために、長さの検証を追加しました。

electermはオープンソースのターミナル/ssh/sftp/telnet/serialport/RDP/VNC/Spice/ftpクライアントです。バージョン3.8.15およびそれ以前のバージョンでは、Electermのターミナルハイパーリンクハンドラーが、ターミナル内でクリックされた任意のURLをプロトコル検証なしに直接shell.openExternalに渡します。攻撃者はターミナル出力を制御できる場合（例：悪意のあるSSHサーバー、侵害されたリモートホスト、またはターミナルコンテンツをレンダリングする悪意のあるプラグインを介して）、被害者が表示されたリンクをクリックするだけで、被害者のマシン上で任意のコードを実行したりローカルファイルにアクセスしたりできます。公開時点では、利用可能なパッチはありません。

electermはオープンソースのターミナル/SSH/SFTP/Telnet/シリアルポート/RDP/VNC/Spice/FTPクライアントです。バージョン3.0.6から3.8.15未満のバージョンにおいて、electermにはディープリンク、CLIの--opts、または細工されたショートカットを介して任意のローカルコードを実行される脆弱性があります。攻撃の成功には、細工された electerm://... リンクをクリックすること、あるいは攻撃者が制御するオプションで electermを起動する細工されたショートカットやコマンドを開く必要があります。この問題はバージョン3.8.15で修正されています。

PraisonAIはマルチエージェントチームシステムです。バージョン1.6.32以前のPraisonAIのURLチェックロジックには論理的な欠陥があり、攻撃者がこれを回避してSSRF攻撃を引き起こす可能性がありました。この問題はバージョン1.6.32で修正されました。

PraisonAIはマルチエージェントチームシステムです。バージョン4.6.34以前のPraisonAIのMCP（Model Context Protocol）サーバー（praisonai mcp serve）は、デフォルトで4つのファイル操作ツール（praisonai.rules.create、praisonai.rules.show、praisonai.rules.delete、praisonai.workflow.show）を登録しています。これらのツールはそれぞれMCPツール／呼び出しの引数からパスまたはファイル名の文字列を受け取り、~/.praison/rules/（workflow.showの場合は絶対パス）に結合しますが、ディレクトリの包含チェックを行いません。JSON-RPCディスパッチャはparams["arguments"]を各ハンドラに対して、広告されている入力スキーマの検証なしに**kwargsとして盲目的に渡します。rule_name="../../some-path"と設定することで、攻撃者はrulesディレクトリの外に出て、実行中のユーザーが書き込み可能な任意のファイルに書き込むことが可能になります。ユーザーのsite-packagesディレクトリにPythonの.pthファイルを配置することで、この脆弱性は任意のコード実行にエスカレートします。これにより、次回のpraisonai CLIの呼び出し、IDEスクリプトの実行、ユーザーのpython REPL、または任意のバックグラウンドPythonサービスでコードが実行されてしまいます。この問題はバージョン4.6.34で修正されました。

netbox-docker 2.5.0以前のバージョンには、デフォルトの資格情報を持つスーパーユーザーアカウントが存在していました（管理者アカウントのadminパスワードおよびSUPERUSER_API_TOKENは0123456789abcdef0123456789abcdef01234567という値でした）。実際には、ほとんどのユーザーがパスワードを変更しましたが、トークンを変更したのは約90%のユーザーのみでした。デフォルトのトークン値を設定することは意図的であり、netbox-docker製品の主要な使用ケースである隔離された開発ネットワークに対して有用でした。一部のユーザーはnetbox-dockerを本番環境で再利用しようと試みました。この試みに関する文書には、デフォルトの値を使用してはならないと明記されていました。しかし、インストール時にはデフォルトでない値の設定が保証されていませんでした。供給者はCVE IDの割り当てを認識しており、割り当てに異議を唱えませんでした。

HCL DFXAnalyticsは、パッチが適用されていないライブラリやサブコンポーネントを使用しているため、「既知の脆弱性を持つコンポーネントの使用」という欠陥の影響を受けています。これにより、攻撃者は公開されている既知のセキュリティ脆弱性を特定して悪用し、不正アクセスやアプリケーションの破損を引き起こす可能性があります。

HCL DFXAnalyticsはトランスポート層の保護が不十分な脆弱性の影響を受けており、データが暗号化されずにネットワーク上で送信されるため、攻撃者が機密情報の機密性、完全性、および認証を侵害する可能性があります。

パスワードリセットエンドポイントにおいて、アクティベーショントークンが再利用される不適切なアクセス制御の問題により、権限のないユーザーがパスワードをリセットし、アカウントを完全に乗っ取ることが可能になりました。影響を受ける製品は、Deutsche Telekom AGのTelekomアカウント管理ポータルであり、2025年10月27日以前のバージョンです。この問題は2025年10月31日に修正されました。

2要素認証にレート制限が欠如しているため、不適切なアクセス制御が発生し、無制限のブルートフォース試行が可能です。その結果、ユーザーの操作なしで完全な多要素認証（MFA）を回避できます。影響を受ける製品は、Deutsche Telekom AGのTelekomアカウント管理ポータルであり、2025年10月24日以前のバージョンが含まれます。この問題は2025年11月3日に修正されました。

MiCode FileExplorerには、組み込みのSwiFTP FTPサーバーコンポーネントに認証バイパスの脆弱性があり、ネットワーク攻撃者が有効な資格情報なしでログインすることを可能にしています。攻撃者は任意のユーザー名とパスワードの組み合わせをPASSコマンドハンドラに送信でき、このハンドラは無条件にアクセスを許可します。その結果、FTPサーバーで公開されているファイルの一覧表示、読み取り、書き込み、および削除が可能になります。MiCode/Explorerのオープンソースプロジェクトは既にサポート終了の状態です。

Open Notebook v1.8.3におけるユーザー入力のサニタイズが不足しているため、アプリケーションユーザーはユーザー作成の変換処理を介してサーバーサイドテンプレートインジェクション（SSTI）を利用し、Dockerコンテナ上でPythonコード（およびその後のOSコマンド）を実行することができます。

Nefteprodukttekhnika BUK TS-G ガソリンスタンド自動化システム 2.9.1（Linux版）には、システム構成モジュールにSQLインジェクションの脆弱性（CWE-89）が存在します。リモートの攻撃者は、application/x-www-form-urlencoded形式のデータ内のsqlパラメータ（例：action=do&sql=query_here&reload_driver=0）を介して、/php/request.phpエンドポイントに特別に細工されたHTTP POSTリクエストを送信することで、任意のSQLコマンドを実行し、潜在的にリモートコードを実行する可能性があります。

Palo Alto NetworksのPAN-OSソフトウェアにおけるUser-ID認証ポータル（別名Captive Portal）サービスにバッファオーバーフローの脆弱性があります。この脆弱性により、認証されていない攻撃者が特別に細工されたパケットを送信すると、PA-SeriesおよびVM-Seriesファイアウォール上でroot権限の任意のコードを実行できる可能性があります。この問題のリスクは、ベストプラクティスガイドラインhttps://knowledgebase.paloaltonetworks.com/KCSArticleDetailに従い、User-ID認証ポータルへのアクセスを信頼できる内部IPアドレスのみに制限することで大幅に低減されます。Prisma Access、Cloud NGFW、およびPanoramaアプライアンスはこの脆弱性の影響を受けません。

Microsoft Power Appsにおけるエスケープ文字、メタ文字、または制御シーケンスの不適切な無害化により、認可された攻撃者がネットワーク上でなりすましを行うことが可能になる脆弱性が存在します。

Linuxカーネルにおいて、以下の脆弱性を修正しました: ksmbdのsmb_grant_oplock()におけるuse-after-freeおよびNULL参照の問題です。smb_grant_oplock()はオープンロック公開シーケンスで2つの問題がありました。1) opinfoはadd_lease_global_list()が呼ばれる前にci-m_op_listに(opinfo_addを介して)リンクされます。もしadd_lease_global_list()が失敗した場合（kmallocがNULLを返す場合）、エラーパスでopinfoは__free_opinfo()を介してci-m_op_listにリンクされたまま解放されます。このため、m_op_listの同時読取者（opinfo_get_listやsmb_break_all_levII_oplockによる直接反復）が解放済みノードを参照してしまいます。2) opinfo-o_fpはadd_lease_global_list()がopinfoをグローバルリースリストに公開した後に割り当てられます。同時にfind_same_lease_key()がリースリストを巡回すると、o_fpがまだNULLの間にopinfo-o_fp-f_ciを参照してしまう可能性があります。この公開後の失敗を排除するために公開シークエンスを再構成して修正しました。具体的には、NULL参照を修正するためにリスト公開前にopinfo-o_fpを設定し、opinfo_add()の前にalloc_lease_table()でlease_tableを事前に確保してadd_lease_global_list()が公開後に失敗しないようにしました。また、もとのm_op_list公開順序（opinfo_addが先、リースリストが後）を維持して、same_client_has_lease()やopinfo_get_list()による同時オープンが進行中のグラントを認識できるようにしました。さらに、エラーパスでは__free_opinfo()の代わりにopinfo_put()を使用し、RCU遅延解放パスを利用するようにしました。これにはadd_lease_global_list()の分割と、事前確保済みlease_tableの受け取り、および失敗しなくなったことで戻り値をintからvoidに変更することも含まれます。

Linuxカーネルにおいて、ext4ファイルシステムのエクステントツリーに新しいエクステントを挿入する処理でエラーが発生した場合に、割り当て済みの物理ブロック番号を正しく削除せずに解放してしまい、同じ物理ブロックを複数回参照してしまう問題がありました。この不整合により、ディレクトリ作成操作などで無限ループが発生し、システムが長時間ブロックされる可能性がありました。修正により、割り当て済みのブロックを安全に管理して、不整合や無限ループを防止します。メタデータ破損時のエラー処理も改善され、ファイルシステムの整合性維持と安定性が向上しました。

Linuxカーネルにおいて、次の脆弱性が修正されました：iomapに関する問題で、i_blkbitsがI/Oの粒度と異なる場合の無効なfolioアクセスの修正です。Commit aa35dd5cbc06（"iomap: fix invalid folio access after folio_end_read()"）では、ifsが付いていないfoliosに対する無効なfolioアクセスの一部を対処しましたが、1 inode-i_blkbitsがfolioサイズと一致しているにもかかわらずIOに使用される粒度と異なる場合は扱っていませんでした。これは、!ifsの場合に完全なfolioよりも小さいサイズでIOが送信される可能性があることを意味しています。この場合、iomap_read_folio_iter()内の条件：if (*bytes_submitted == folio_len) ctx-cur_folio = NULL; はctx-cur_folioを無効化せず、IOヘルパーが所有し読み込みを完了してもiomap_read_end()がそのfolioに対して呼び出され続けてしまいます。この問題は、!ifsの場合にctx-cur_folioを無条件に無効化することによって修正されました。

X.Org Xサーバーに脆弱性が発見されました。このXKBジオメトリ処理における境界外読み取りの脆弱性は、具体的には`CheckSetGeom()`および`XkbAddGeomKeyAlias`関数内に存在し、攻撃者が初期化されていないメモリまたは境界外のメモリを読み取ることを可能にします。ローカルまたはリモートでX11サーバーに接続可能な攻撃者は、ユーザーの操作なしにこの脆弱性を悪用できます。これにより、メモリ内容が漏洩したり、サーバーがクラッシュしてサービス拒否を引き起こしたりする可能性があります。

X.Org Xサーバーに欠陥が発見されました。この脆弱性は範囲外読み取りに関するもので、XKB（Xキーボード拡張）のモディファイアマップ処理に影響を及ぼします。X11サーバーへのアクセス権を持つ攻撃者は、不正なリクエストを送信することでこの脆弱性を悪用でき、サーバーが意図されたメモリ境界を超えて読み取ってしまいます。これにより機密情報が漏洩したり、サーバーがクラッシュしたりして、サービス拒否（DoS）攻撃が発生する可能性があります。

GitPythonはGitリポジトリと対話するために使用されるPythonライブラリです。バージョン3.1.47以前では、_clone()関数がmulti_optionsを元のリストとして検証し、その後shlex.split(" ".join(multi_options))を実行していました。"--branch main --config core.hooksPath=/x"のような文字列は検証を通過します（--branchで始まるため）が、分割後は["--branch", "main", "--config", "core.hooksPath=/x"]となります。Gitはこのconfigを適用し、クローン中に攻撃者のフックを実行してしまう問題がありました。この問題はバージョン3.1.47で修正されました。

Linuxカーネルのnet/x25サブシステムにおいて、skbの二重解放が発生する脆弱性が修正されました。x25_queue_rx_frame関数でalloc_skbが失敗した場合、kfree_skbが呼ばれてエラーを返しますが、そのエラーが呼び出し元に伝わった後、最終的にx25_backlog_rcv関数で同じskbが再度解放されるため、二重解放が発生します。この問題によりメモリの誤管理が生じる可能性があり、適切なエラーハンドリングを行うことで修正されました。

OpenClawのバージョン2026.2.21から2026.4.10未満には、sandboxのnoVNCヘルパールートに認証バイパスの脆弱性があり、対話型ブラウザセッションの認証情報が漏洩します。攻撃者はブリッジ認証なしでnoVNCヘルパールートにアクセスでき、対話型ブラウザセッションに不正にアクセスする可能性があります。

OpenClawのバージョン2026.3.31から2026.4.10の前のバージョンには特権昇格の脆弱性が存在します。この脆弱性は、ハートビート所有者のダウングレード検出がローカルのバックグラウンド非同期実行完了イベントを見逃すことに起因します。攻撃者は信頼できない完了コンテンツを提供することで、意図したよりも権限の高いコンテキストで実行を継続することが可能です。

OpenClawの2026年4月10日以前のバージョンには、サンドボックスブラウザのCDPリレーにおいて不適切なネットワークバインディングの脆弱性が存在し、Chrome DevToolsプロトコルが0.0.0.0に公開されていました。攻撃者は過度に広範なバインディング設定を悪用することで、本来のローカルサンドボックスの範囲外からDevToolsプロトコルにアクセスすることが可能です。