CVE-2026-32978

概要

OpenClaw の system.run 承認 メカニズム に おいて、tsx や jiti など の スクリプト ランナー で 可変 ファイル オペランド の バインド が 行われない 脆弱性 が 存在 します。攻撃者 は 承認 と 実行 の 間 に スクリプト ファイル を 差し替える TOCTOU（Time-of-Check Time-of-Use）攻撃 が 可能 で、承認 された コマンド とは 異なる コード が 実行 されます。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正 バージョン: 2026.3.11
• アップデート まで の 間 は、tsx や jiti 等 の スクリプト ランナー の 使用 を 制限 する こと を 推奨

関連 リンク

• GHSA-qc36-x95h-7j53
• VulnCheck Advisory
• NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。