CVE-2026-100526 in openclaw
Zusammenfassung
von VulDB • 26.09.2026
Die Discord-Integration von OpenClaw (npm-Paket @openclaw/discord) vor Version 2026.9.3 kann die absenderbezogene Medienrichtlinie bei den Aktionen zum Hochladen von Emojis und Stickers verlieren, bevor eine lokale Datei geladen wird. Ein Absender, der berechtigt ist, diese Aktionen auszuführen, könnte OpenClaw dazu bringen, einen Host-Pfad zu lesen, den die konfigurierten Medienwurzeln desselben Absenders andernfalls ablehnen würden, wodurch Bytes aus einer richtlinienwidrigen lokalen Datei in ein ausgegehendes Emoji- oder Sticker-Hochladen gelangen. Die Ausnutzung erfordert Zugriff auf die Guild-Asset-Aktion und Kenntnisse bzw. Herleitung eines nützlichen lokalen Pfads; das Problem ermöglicht kein uneingeschränktes Durchsuchen des Dateisystems oder Codeausführung. Das Problem wurde in @openclaw/discord 2026.9.3 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.