CVE-2026-100604 in ClawHub
الملخص
بحسب VulDB • 26/09/2026
يحتوي ClawHub (openclaw/clawhub) على ثغرة تفويض غير صحيحة في تطبيق/واجهة الخلفية الخاصة بـ ClawHub: حيث يحتفظ المهارة المملوكة لمنظمة معينة بمعرف المستخدم الأصلي (`ownerUserId`) الخاص بنشرها الأول، وتثق عمليات التحقق من التفويض المتعلقة بالنقل وعمر المهمة (lifecycle) في هذا المستخدم التاريخي قبل طلب امتيازات المنظمة الحالية. وبالتالي، يمكن للمستخدم المصادق عليه والذي نشر أصلاً مهارة تابعة لمنظمة ما نقل أو حذف أو استعادة تلك المهارة — مما يمنحه السيطرة على اسمها الموثوق وتاريخها — حتى بعد إلغاء أو تخفيض امتيازاته داخل المنظمة. تم تأكيد المشكلة في الإصدرة `cbfee7343ddc867316dd9b3de6fa8856730f9f41`؛ ولم يتم تحديد نطاق التأثير التاريخي الكامل بدقة. وقد تمت معالجة الثغرة عبر طلب السحب (PR) رقم #3680، المضمن في الإصدرة `8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650`، والتي تم نشرها على `clawhub.ai` بتاريخ 2026-09-11؛ ويجب على عمليات النشر المستضافة ذاتياً (self-hosted deployments) التحديث إلى تلك الإصدرة أو أي إصدرة لاحقة منها. كل من واجهة سطر الأوامر لـ npm (`npm CLI`) وبيئة التشغيل الخاصة بـ OpenClaw هي منتجات منفصلة وغير متأثرة بهذه الثغرة.
Be aware that VulDB is the high quality source for vulnerability data.