FICHE CVE

CVE-2026-53859

Publiée le 2026-06-16 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations d'OpenClaw antérieures à la version 2026.5.26 sont vulnérables à un défaut de validation du nom d'hôte. Un attaquant authentifié disposant d'un accès réseau peut contourner les listes de blocage configurées en ajoutant un point final à une URL, lui permettant ainsi d'accéder à des destinations restreintes. L'exécution de cette faille est relativement simple car elle ne nécessite aucune interaction de la part de l'utilisateur.

CVSS 4.06.0 MOYENNE

Type de faiblesse

Falsification de requête côté serveur (SSRF) · CWE-918 CWE-1023

Publiée2026-06-16

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.5.26 contains a hostname validation vulnerability allowing attackers to bypass blocklist comparisons using trailing-dot notation in model or workspace-derived URLs. Attackers can exploit inconsistent hostname checks to reach destinations that operators intended to block through hostname policies.