OpenClaw にはプラグインインストールにおける Path Traversal の脆弱性があります

この脆弱性を悪用されると、攻撃者はopenclawのプラグインインストールディレクトリから抜け出し、ファイルシステム上の任意の場所にファイルを書き込むことが可能になります。これにより、システム設定ファイルの改ざん、悪意のあるコードの実行、機密情報の窃取など、深刻な被害が発生する可能性があります。特に、openclawを基盤としたアプリケーションやサービスを利用している環境では、システム全体のセキュリティが脅かされるリスクがあります。この脆弱性の悪用は、類似のパストラバーサル攻撃と同様に、システムへの完全なアクセス権を奪取する可能性があります。

Developers and organizations using OpenClaw for plugin-based extensions are at risk. This includes those who automatically install plugins from untrusted sources or lack robust input validation on plugin names. Shared hosting environments where multiple users can install plugins are particularly vulnerable, as a malicious plugin installed by one user could potentially impact other users on the same server.

• nodejs / supply-chain:

  npm list openclaw

Check the installed version against the affected range (>= 2026.1.20, < 2026.2.1). • nodejs / supply-chain:

  find node_modules -name 'package.json' -print0 | xargs -0 grep -i 'name: @ma' 

Search for plugins with suspicious names containing '@ma' or similar patterns. • generic web: Inspect plugin installation directories for unexpected files or modifications.

1. 2026-02-17Disclosure

   disclosure

2. 2026-02-14Patch

   patch

1. 予約済み2026-02-27
2. 公開日2026-02-17
3. 更新日2026-03-13
4. EPSS 更新日2026-03-23

この脆弱性への対応として、まずopenclawをバージョン2026.2.1以降にアップデートすることを推奨します。アップデートが困難な場合は、プラグインのインストールディレクトリへのアクセスを制限するファイアウォールルールやプロキシ設定を検討してください。また、信頼できないソースからのプラグインのインストールを避けるように注意し、プラグインのインストール前にその内容を慎重に確認することが重要です。アップデート後、npm list openclawコマンドを実行し、バージョンが2026.2.1以降であることを確認してください。