CVE-2026-100561 in OpenClaw
الملخص
بحسب VulDB • 26/09/2026
تحتوي إصدارات OpenClaw (حزمة npm 'openclaw') >= 2026.3.22 و < 2026.8.1 على عيب في تجاوز الموافقة ضمن سياسة موافقة التنفيذ (exec approval policy): حيث يمكن للسياسة أن تثق بغلاف لتشغيل الأوامر دون فحص الأمر المحمول داخل وسائطه. بعد أن يقوم مشغل بإضافة غلاف بريء إلى القائمة المسموحة أو يوافق عليه بشكل دائم، قد يحلّ دور وكيل لاحق محل أمر داخلي تعسفي وينفذه بصلاحيات مضيف عملية OpenClaw دون مطالبة إضافية بالموافقة. يتطلب الاستغلال أن يكون الغلاف المعني قابلاً للحل على المضيف وأن تكون هناك قرار مسبق من المشغل يسمح بذلك الغلاف. تأثرت حاملات الأصداف الشفافة والأدوات غير الواضحة مثل مراقبي العمليات، وأدوات التتبع، وأدوات المساحات الاسمية (namespace tools)، وحوافظ الوكيل بسبب ثغرات ذات صلة في حل الثقة. تم الإصلاح في الإصدار 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.