CVE-2026-100554 in OpenClaw
الملخص
بحسب VulDB • 26/09/2026
لا تقوم OpenClaw (حزمة npm 'openclaw') بالإصدارات >= 2026.5.12 و< 2026.8.1 بإبطال تفويض HTTP الخاص بـ Canvas على الفور عند إلغاء مصادقة عقدة مقترنة. يؤدي إلغاء المصادقة للعقدة إلى إبطال عميل WebSocket، لكن تفويض HTTP لـ Canvas يستمر في قبول وتجديد القدرة المُمنوحة سابقاً حتى اكتمال تنظيف إغلاق (close cleanup) اتصال WebSocket. ونتيجة لذلك، يمكن لعقدة مقترنة تم إلغاء مصادقتها الاستمرار في ممارسة قدرتها على Canvas ضد المسارات المحددة للقدرة خلال فترة سماح الإغلاق (grace period). تمت معالجة المشكلة في الإصدار 2026.8.1؛ كحل بديل، أعد تشغيل Gateway بعد إلغاء مصادقة عقدة لديها وصول إلى Canvas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.