CVE-2026-100570 in OpenClaw
الملخص
بحسب VulDB • 26/09/2026
تسمح إصدارات OpenClaw (حزمة npm 'openclaw') التي تكون >= 2026.3.28 و < 2026.8.1 لملف .env غير موثوق به في مساحة العمل بتعيين متغير البيئة CLOUDSDK_PYTHON_ARGS. عندما يقوم مشغل النظام بتشغيل OpenClaw باستخدام محتوى لمساحة عمل يتحكم فيه مهاجم، ثم ينفذ تدفق إعداد Gmail، يتم توريث هذه القيمة عند تشغيل gcloud، حيث يمرر مُشغّل gcloudها كوسائط إلى مفسّر Python الموثوق. وبالتالي، يمكن لقيمة CLOUDSDK_PYTHON_ARGS المُصاغة بشكل ضار أن تتسبب في تنفيذ Python لكود مزوّد من قبل المهاجم بصلاحيات مستضيف OpenClaw، مما يتيح قراءة بيانات الاعتماد أو تعديل الملفات أو بدء عمليات أخرى. تم إصلاح هذه المشكلة في الإصدار 2026.8.1؛ كحل بديل، يُرجى تشغيل إعداد Gmail فقط من مساحات عمل موثوقة ومسح متغيرات CLOUDSDK_* الموروثة قبل ذلك.
Be aware that VulDB is the high quality source for vulnerability data.