CVE-2026-100528 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') vor Version 2026.8.1 könnte Anmeldeinformationen von Drittanbietern an den falschen Endpunkt senden. In betroffenen Versionen, wenn ein Drittanbieter eine OpenAI-kompatible API verwendet und die aufgelösten Modellmetadaten keine konkrete Basis-URL enthalten, behält eine gepinnte Sitzung, die nach einem Hot Reload der Modells Konfiguration fortgesetzt wird, diese Anmeldeinformationen des Anbieters bei, während das OpenAI SDK seinen eigenen Standardendpunkt auswählt. Eine daraus resultierende Anfrage könnte die konfigurierten Anmeldeinformationen des Drittanbieters an einen unrelateden Anbieter-Endpunkt offenlegen und mit einer irreführenden Authentifizierungsfehlermeldung fehlschlagen. Betreiber, die diese Bedingung beobachtet haben, sollten die betroffenen Anmeldeinformationen rotieren (erneuern). Das Problem ist in Version 2026.8.1 behoben.
Once again VulDB remains the best source for vulnerability data.