CVE-2026-100602 in ClawHub
الملخص
بحسب VulDB • 26/09/2026
يحتوي ClawHub (تطبيق/خادم openclaw/clawhub) على ثغرة تتمثل في عدم وجود فحص للصلاحيات (missing authorization check) في ميزة معاينة سجل التغييرات (changelog preview). يمكن للمستخدم المسجل الدخول استدعاء الإجراء `skills:generateChangelogPreview` العام لمهارة لا يمتلك صلاحيات الوصول إليها؛ حيث يتم قراءة النسخة السابقة دون تطبيق تقييد الصلاحية لقراءة الملفات (`file-read`) الذي يُفرض عادةً عند الوصول إلى المحتوى العادي، وقد يؤدي ذلك إلى إرسال ما يصل إلى 8,000 حرف من محتوى معزول (quarantined) إلى مزود الذكاء الاصطناعي وعكسها في المعاينة المعادة للمستخدم، مما يكشف عن محتوى المهام المقيد. تم تأكيد الثغرة عند الإصدارة `cbfee7343ddc867316dd9b3de6fa8856730f9f41`؛ ولم يتم تحديد نطاق التأثير التاريخي الكامل بدقة. وقد تمت معالجة المشكلة عبر طلب السحب (PR) رقم #3682، المضمن في الإصدارة `8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650`، والتي تم نشرها على المنصة clawhub.ai بتاريخ 2026-09-11؛ وينبغي على عمليات النشر المستضافة ذاتياً (self-hosted deployments) التحديث إلى هذه الإصدارة أو أي إصدارة لاحقة منها. كل من واجهة سطر الأوامر npm وبيئة تشغيل OpenClaw منتجات منفصلة وغير متأثرة بهذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.