There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - OpenClaw is a personal AI assistant. Prior to version 2026.2.14, a mismatch between `rawCommand` and
    `command[]` in the node host `system.run` handler could cause allowlist/approval evaluation to be
    performed on one command while executing a different argv. This only impacts deployments that use the node
    host / companion node execution path (`system.run` on a node), enable allowlist-based exec policy
    (`security=allowlist`) with approval prompting driven by allowlist misses (for example `ask=on-miss`),
    allow an attacker to invoke `system.run`. Default/non-node configurations are not affected. Version
    2026.2.14 enforces `rawCommand`/`command[]` consistency (gateway fail-fast + node host validation).
    (CVE-2026-26325)

遠端主機上安裝的 OpenClaw AI 助手版本早於 2026.2.14。因此，該主機會受到多個弱點影響，包括：

  - 維護者 clawtributors 更新程式指令碼中的命令插入，允許透過特製的 git 提交作者詮釋資料執行任意命令。(CVE-2026-26323)

  - Gateway 工具接受工具提供的 gatewayUrl，且未施加足夠限制，使得可透過傳出 WebSocket 連線向使用者指定的目標發動 SSRF 攻擊。(CVE-2026-26322)

  - 未設定 telnyx.publicKey 時，選用的 Telnyx webhook 處置程式可接受未簽署的傳入 webhook 要求，進而允許未經驗證的呼叫者偽造 Telnyx 事件。(CVE-2026-26319)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程主机上安装的 OpenClaw AI 助手版本低于 2026.2.14。因此，该应用程序受到多个漏洞的影响，其中包括：

  - 维护者 clawtributors 更新程序脚本中存在命令注入漏洞，攻击者可利用此漏洞通过构建的 git 提交作者元数据执行任意命令。(CVE-2026-26323)

  - 网关工具会在没有足够限制的情况下接受工具提供的 gatewayUrl，进而通过与用户指定的目标建立出站 WebSocket 连接来发起 SSRF 攻击。(CVE-2026-26322)

  - 若未配置 telnyx.publicKey，可选 Telnyx webhook 处理程序可接受未签名的入站 webhook 请求，使得未经身份验证的调用程序可以伪造 Telnyx 事件。(CVE-2026-26319)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモートホストにインストールされている OpenClaw AI アシスタントのバージョンは、2026.2.14 より前です。そのため、以下を含む複数の脆弱性による影響を受けます:

  - メンテナー clawtributors アップデータースクリプトのコマンドインジェクションにより、細工された git コミット作者メタデータを通じて、任意のコマンドが実行される可能性がありました。(CVE-2026-26323)

  - Gateway ツールが、ツール提供の gatewayUrl を十分な制限なしに受け入れ、ユーザー指定ターゲットへのアウトバウンド WebSocket 接続を介して SSRF を有効にしました。(CVE-2026-26322)

  - telnyx.publicKey が設定されていない場合、オプションの Telnyx webhook ハンドラーは、署名されていないインバウンド webhook リクエストを受け入れる可能性があるため、認証されていない呼び出し元が Telnyx イベントを偽装することが可能でした。(CVE-2026-26319)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The version of the OpenClaw AI assistant installed on the remote host is prior to 2026.2.14. It is, therefore, affected by multiple vulnerabilities, including:

  - A command injection in the maintainer clawtributors updater script allowed arbitrary command execution via crafted     git commit author metadata. (CVE-2026-26323)

  - The Gateway tool accepted a tool-supplied gatewayUrl without sufficient restrictions, enabling SSRF via outbound     WebSocket connections to user-specified targets. (CVE-2026-26322)

  - The optional Telnyx webhook handler could accept unsigned inbound webhook requests when telnyx.publicKey is not     configured, allowing unauthenticated callers to forge Telnyx events. (CVE-2026-26319)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
437788	SCA: security update for openclaw (GHSA-h3f9-mjwj-w476)	Tenable Cloud Security	SCA Checks	2/18/2026	7/2/2026	high
437788	SCA: security update for openclaw (GHSA-h3f9-mjwj-w476)	Tenable Self-Hosted Container Security	SCA Checks	2/18/2026	7/2/2026	high
299797	OpenClaw < 2026.2.14 多個弱點	Nessus	Artificial Intelligence	2/23/2026	2/27/2026	high
299797	OpenClaw < 2026.2.14 多个漏洞	Nessus	Artificial Intelligence	2/23/2026	2/27/2026	high
299797	OpenClaw < 2026.2.14 複数の脆弱性	Nessus	Artificial Intelligence	2/23/2026	2/27/2026	high
299797	OpenClaw < 2026.2.14 Multiple Vulnerabilities	Nessus	Artificial Intelligence	2/23/2026	2/27/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high