CVE-2026-100563 in OpenClaw
الملخص
بحسب VulDB • 26/09/2026
لا تقوم OpenClaw (حزمة npm `openclaw`) قبل الإصدار 2026.8.1 بتحييد الأحرف الأولى التي تفسرها تطبيقات الجداول كصيغ عند قيام واجهة التحكم في المستخدم (Control UI) بتصدير بيانات الجلسة إلى تنسيق CSV. وعلى الرغم من أن عناوين الجلسات كانت تُحصر كنص CSV، إلا أنه يمكن لمشارك ذي ثقة أقل ويملك القدرة على التأثير في عنوان جلسة أو الرسالة الأولى للمستخدم بإدراج خلية تشبه الصيغة في ملف الاستخدام المصدّر؛ وإذا قام مشغل النظام بفتح هذا الملف باستخدام تطبيق جداول مع تفعيل تقييم الصيغ، فقد يتم تقييم الخلية بصلاحيات مستخدم تطبيق الجداول. لا تقوم OpenClaw نفسها بتقييم الصيغة، وتعتمد الأثر العملي على إعدادات أمان تطبيق الجداول. تم إصلاح هذه المشكلة في الإصدار 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.