CVE-2026-100538 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm package 'openclaw') vor Version 2026.8.1 wendet die globale oder pro-Agent-ToolsBySender-Richtlinie des ursprünglichen Absenders bei der Verarbeitung von ausgehenden Anhängen nicht an. Ein Absender, dem das Lesen von Dateien explizit untersagt wurde, kann dennoch dazu führen, dass eine bekannte lokale Datei gelesen und über ein final-response-Medien-Direktiv oder einen Nachrichten-Anhang zurückgegeben wird, wodurch die Inhalte lokaler Dateien einem zugelassenen Anforderer offengelegt werden, dessen Agent-Umschaltung das Lesewerkzeug nicht umfasste. Die Ausnutzung erfordert Kenntnis oder Ableitung eines nützlichen Host-Pfads sowie einen Lieferfluss, der lokale Anhänge akzeptiert. Das Problem wurde in Version 2026.8.1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.