OpenClawにおいて、Feishu拡張機能のsendMediaFeishuにローカルファイルディスクロージャの脆弱性があります

この脆弱性を悪用されると、攻撃者はOpenClawのプロンプトインジェクションなどを通じて、mediaUrlパラメータに/etc/passwdなどのローカルファイルパスを注入できます。OpenClawは、このパラメータをローカルファイルシステムパスとして解釈し、指定されたファイルを読み込んでしまうため、攻撃者は機密情報（ユーザー名、パスワードハッシュなど）を盗み出すことが可能になります。攻撃範囲は、OpenClawが実行されているサーバーに限定されますが、機密情報の漏洩は重大な影響を及ぼす可能性があります。類似の脆弱性は、ファイルパスの検証不備によって発生することがあります。

Applications and systems utilizing the OpenClaw Node.js extension, particularly those with prompt injection vulnerabilities or inadequate input validation, are at risk. This includes environments where the extension is used to process user-supplied data or interact with external services.

• nodejs / supply-chain:

  npm list opencLaw

• nodejs / supply-chain:

  npm audit opencLaw

• generic web:

  curl -I 'http://your-application/sendMediaFeishu' # Check for endpoint exposure

1. 2026-02-17Disclosure

   disclosure

1. 予約済み2026-02-13
2. 公開日2026-02-17
3. 更新日2026-02-20
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、OpenClawをバージョン2026.2.14以降にアップデートすることです。アップデートが利用できない場合は、一時的な回避策として、sendMediaFeishu機能の使用を制限するか、mediaUrlパラメータの入力を厳密に検証するWAFルールを導入することを検討してください。また、OpenClawのログを監視し、異常なファイルアクセスを検出するためのシグネチャを実装することも有効です。アップデート後、sendMediaFeishu機能が正常に動作することを確認してください。