CVE-2026-100539 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') vor Version 2026.8.1 widerruft den Zugriff auf Memory-Tools nicht, wenn ein Operator die Speicherkonfiguration hot-disablen kann. Bestehende Instanzen der Tools memory_search und memory_get behalten die bei der Erstellung erfasste aktivierte Konfiguration bei, da der Resolver zur Laufzeit eine explizite Deaktivierung wie einen nicht verfügbaren Konfigurations-Snapshot behandelt und die veraltete Berechtigung wiederherstellt. Infolgedessen kann das Modell während eines bereits laufenden Agenten-Durchlaufs weiterhin nach persistentem Speicher suchen und diesen lesen, nachdem der Operator den Zugriff widerrufen hat, und zwar für den Rest dieses Durchlaufs. Die Ausnutzung erfordert, dass der Speicher deaktiviert wird, während ein zuvor erstelltes Memory-Tool noch aktiv ist. Das Problem wurde in Version 2026.8.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.