CVE-2026-66418: Kritisk XSS-fejl i OpenClaw Dashboard v3.0.0

CVE-2026-66418 er en fejl i OpenClaw Dashboard v3.0.0, hvor systemet gemmer brugernavnet fra mislykkede loginforsøg direkte i sin auditlog, uden at rense det for kode. En angriber kan derfor sende et login-forsøg med et brugernavn, der i virkeligheden er et stykke skadelig HTML- eller script-kode. Når en administrator senere åbner notifikationspanelet, indsætter systemet logteksten direkte i siden via innerHTML, en metode der lader browseren tolke teksten som aktiv kode i stedet for almindelig tekst. Fejlen kaldes stored cross-site scripting (lagret kodeindsprøjtning), fordi den skadelige kode ligger gemt i systemet og udføres, hver gang en administrator ser loggen. En løs sikkerhedspolitik (Content-Security-Policy) i dashboardet tillader desuden inline-scripts, hvilket gør det lettere for koden at køre uhindret.

Sårbarheden rammer virksomheder og kommuner, der bruger OpenClaw Dashboard version 3.0.0 til at administrere AI-agenter eller automatiserede opgaver. Det er specifikt loginsiden og notifikationspanelet i administratorgrænsefladen, der er udsat. Angriberen behøver ingen adgangskode og kan sende det skadelige loginforsøg helt udefra, blot dashboardet er tilgængeligt på nettet.

Når en administrator åbner notifikationspanelet, kører den indsprøjtede kode i administratorens egen browsersession med fulde rettigheder. Angriberen kan derfor udnytte den aktive session til at redigere agent-instruktionsfiler, som styrer, hvad automatiserede systemer gør, og til at ændre konfigurationen af dashboardet. I praksis kan en dansk virksomhed opleve, at deres AI-styrede processer bliver manipuleret, at følsomme oplysninger tilgået fra dashboardet lækkes, eller at angriberen opretter en ny administratorkonto til fremtidig adgang.

CVSS-score er 9,3 ud af 10, hvilket er kritisk. Angrebet kræver ikke login (PR:N) og kan udføres over netværket med lav kompleksitet. Det kræver dog, at en administrator selv åbner notifikationspanelet (UI:R), så udnyttelsen sker ikke automatisk. Konsekvensen ved udnyttelse er høj både for fortrolighed og integritet, mens systemets tilgængelighed ikke påvirkes. Der er ingen kendte tegn på, at fejlen aktivt udnyttes i angreb på offentliggørelsestidspunktet.

Da der endnu ikke er en officiel opdatering, skal I indføre midlertidige tiltag, mens I følger med i vendorens svar.

1. Begræns eller filtrer, hvad der logges fra loginfeltet: fjern eller escap HTML-tegn i brugernavnsfeltet, før det gemmes i auditloggen.
2. Stram jeres Content-Security-Policy, så inline-scripts og inline event handlers ikke tillades i dashboardet.
3. Skift metoden til at vise logdata i notifikationspanelet fra innerHTML til en metode, der behandler indholdet som ren tekst.
4. Begræns adgangen til login-siden og administratorgrænsefladen til betroede IP-adresser eller via VPN, hvis muligt.
5. Overvåg auditloggen for usædvanlige brugernavne med HTML- eller script-tegn.
6. Kontakt Auroa eller anden sikkerhedsrådgiver, hvis I ikke selv kan implementere ovenstående tiltag eller ikke ved, om jeres opsætning er sårbar.