CVE-2026-100532 in openclaw
Zusammenfassung
von VulDB • 26.09.2026
@openclaw/whatsapp (npm) vor Version 2026.8.1 gibt das WhatsApp-Anmeldungstool über den generischen Kanal-Tool-Pfad frei, ohne den Eigentümerstatus des ursprünglichen Absenders beizubehalten; daher wird die auf den Eigentümer beschränkte Tool-Grenze nicht durchgesetzt. Ein zugelassener Nicht-Eigentümer-Absender, der in der Lage ist, das Tool zu steuern, kann eine erzwungene Anmeldung anfordern und einen neuen QR-Code für ein konfiguriertes Konto erhalten, wodurch das WhatsApp-Konto des Gateways getrennt wird und es zu einem Verfügbarkeitsverlust kommt; die vollständige Neukopplung des Kontos erfordert zusätzlich, dass der Angreifer den zurückgegebenen QR-Code mit einem anderen Telefon scannt. Das Problem betrifft die auf den Eigentümer beschränkte Tool-Grenze und nicht die WhatsApp-Transportauthentifizierung. Behebt in Version 2026.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.