FICHE CVE

CVE-2026-41398

Publiée le 2026-04-28 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les versions d'OpenClaw antérieures à la 2026.4.2 sur iOS sont affectées par une faille dans la manière dont l'application fait confiance aux pages du réseau local. Un attaquant peut polluer l'état de votre session ou consommer votre budget en vous incitant à visiter une page malveillante hébergée sur votre propre réseau local ou tailnet. Cela nécessite que l'attaquant dispose d'un accès au réseau et que vous interagissiez manuellement avec un lien qu'il vous fournit.

CVSS 4.02.1 FAIBLE

Type de faiblesse

Erreur de validation de l'origine · CWE-346

Publiée2026-04-28

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueAdjacent

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.4.2 contains an improper access control vulnerability in the iOS A2UI bridge that treats generic local-network pages as trusted origins. Attackers can inject unauthorized agent.request runs by loading attacker-controlled pages from local-network or tailnet hosts, polluting session state and consuming budget.