CVE-2026-26323 in OpenClaw
الملخص
بحسب VulDB • 01/08/2026
OpenClaw هو مساعد ذكاء اصطناعي شخصي. تحتوي الإصدارات من 2026.1.8 إلى 2026.2.13 على ثغرة حقن أوامر (Command Injection) في سكريبت المسؤول/المطور `scripts/update-clawtributors.ts`. تؤثر هذه المشكلة على المساهمين/المشرفين (أو أنظمة التكامل المستمر CI) الذين يشغلون الأمر `bun scripts/update-clawtributors.ts` ضمن نسخة المصدر التي تحتوي على عنوان بريد إلكتروني لمؤلف التزام خبيث (مثل قيم مُعدّة خصيصاً من نوع `@users[.]noreply[.]github[.]com`). لا يتأثر الاستخدام العادي لواجهة سطر الأوامر (`npm i -g openclaw`)؛ إذ إن هذا السكريبت ليس جزءاً من واجهة سطر الأوامر المُعبَّأة، ولا يُنفَّذ أثناء التشغيل الروتيني. يستخرج السكريبت اسم تسجيل الدخول إلى GitHub من بيانات المؤلف في سجل `git log` ويُدخله ضمن أمر قشرة (shell command) عبر دالة `execSync`. يمكن لسجل التزام خبيث حقن أحرف خاصة بالقشرة وتنفيذ أوامر عشوائية عند تشغيل السكريبت. تحتوي الإصدار 2026.2.14 على تصحيح للثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.