🇰🇷 한글 설명
OpenClaw 2026.5.7 미만 버전에서 권한 상승 취약점이 발견되었습니다. 이 취약점은 Discord 계정 식별 시 불변의 사용자 ID 대신 변경 가능한 표시 이름을 사용하여 발생하며, 공격자가 표시 이름을 정책에 등록된 이름과 일치시켜 권한을 탈취할 수 있습니다.
💡 쉬운 설명
디스코드 닉네임을 바꾸는 것만으로도 관리자 권한을 얻을 수 있는 보안 결함입니다. 공격자가 자신의 이름을 권한이 있는 사용자의 이름과 똑같이 설정하여 시스템에 침입할 수 있습니다.
🇺🇸 원문 (English)
OpenClaw before 2026.5.7 contains a privilege escalation vulnerability where the allowFrom feature improperly validates Discord account identity using mutable display names instead of immutable user IDs. Attackers with Discord accounts can change their display name to match a policy entry and gain unauthorized agent access intended for another Discord identity.
📍 영향받는 시스템
OpenClaw versions prior to 2026.5.7
⚔️ 공격 벡터
Discord 계정의 표시 이름(Display Name)을 정책에 등록된 특정 이름으로 변경하여 권한 탈취
🛡️ 대응 방법
OpenClaw를 2026.5.7 버전 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.5.7 미만인 경우 해당 취약점에 노출된 상태입니다.
openclaw --version 2>/dev/null | grep -E '2026\.[0-5]\.[0-7]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access