FICHE CVE

CVE-2026-100564

Publiée le 2026-09-26 · Dernière modification le 2026-09-26

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à 2026.8.1 sont vulnérables à l'injection CSV via les noms d'affichage des participants. Un attaquant distant non authentifié peut concevoir un nom contenant des formules de tableur qui s'exécutent avec les permissions de la victime lors de l'ouverture de l'exportation des présences dans une application compatible. Cela nécessite qu'un administrateur système télécharge et ouvre le fichier exporté.

CVSS 4.05.3 MOYENNE

Type de faiblesse

Injection CSV · CWE-1236

Publiée2026-09-26

Dernière modification2026-09-26

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw versions before 2026.8.1 fail to neutralize spreadsheet formula characters in participant display names within attendance CSV exports. Attackers can inject formula-like cells that execute with spreadsheet user permissions when the export is opened in formula-enabled applications.