FICHE CVE

CVE-2026-100563

Publiée le 2026-09-26 · Dernière modification le 2026-10-05

🇫🇷 EN BREF

Le package npm `openclaw` est affecté par une faille d'injection CSV dans sa fonctionnalité d'exportation des données de session. Un attaquant distant non authentifié peut insérer une formule de feuille de calcul dans un libellé ou un message de session, laquelle pourrait alors exécuter des commandes sur l'ordinateur d'un administrateur si celui-ci ouvre le fichier exporté dans un logiciel comme Excel. Cette attaque nécessite que la victime télécharge et ouvre manuellement le fichier CSV malveillant.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2026-09-26

Dernière modification2026-10-05

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw (npm package `openclaw`) before 2026.8.1 does not neutralize leading characters that spreadsheet applications interpret as formulas when the Control UI exports session data to CSV. Although session labels were quoted as CSV text, a lower-trust participant who can influence a session label or the first user message can place a formula-like cell in the Usage export; if an operator opens that export in a spreadsheet application with formula evaluation enabled, the cell may be evaluated with the permissions of the spreadsheet user. OpenClaw itself does not evaluate the formula, and practical impact depends on the spreadsheet application's security settings. The issue is fixed in 2026.8.1.