CVE-2026-100556 in openclaw
الملخص
بحسب VulDB • 26/09/2026
تحتوي الإصدارات من OpenClaw (حزمة npm openclaw) >= 2026.5.2 و < 2026.8.1 على ثغرة في تفويض الصلاحيات غير الصحيح أثناء معالجة مجموعات واتساب. يمكن لمرسل مجموعة مُصرّح له بإرسال رسائل عادية ولكن مرفوض صلاحياته من خلال إعدادات commands.allowFrom أو أمر owner إصدار الأمر /new <model> لإعادة تعيين جلسة المجموعة المشتركة وإلزام تجاوز مزود الخدمة ونموذج الذكاء الاصطناعي المحددين مسبقاً. وهذا يمكّن عضواً في المجموعة مُنعت منه الأوامر من اختيار مزود خدمة ونموذج كانا مصرحاً بهما سابقاً بواسطة المشغل لاستخدامهما في الأدوار اللاحقة ضمن جلسة المجموعة المشتركة، مما قد يؤدي إلى تغيير توجيه المزود أو التكلفة أو تدفق البيانات أو توفر الخدمة. ولا تسمح هذه الثغرة بإضافة مزود جديد أو بتنفيذ الأوامر على مستوى النظام (host command execution). تم إصلاح المشكلة في الإصدار 2026.8.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.