CVE-2026-100542 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') in den Versionen >= 2026.5.28 und < 2026.8.1 verarbeitet Archivauflistungen im tar.bz2-Skill-Installer fehlerhaft: Begrenzte Suffixe der Befehlsausgabe wurden als vollständige Auflistungen des Archives behandelt. Ein speziell angefertigtes .tar.bz2/.tbz2-Skill-Archiv kann verbotene Einträge aus beiden behaltenen Auflistungen verschieben, sodass die Prüfungen für Eintragsanzahl und Größe bestanden werden, und das Archiv wird anschließend vollständig extrahiert. Wenn ein Operator die Installation eines solchen bösartigen oder kompromittierten Skill-Archivs genehmigt, werden Dateien mit über dem Limit liegender Anzahl von Einträgen in den Werkzeug-Verzeichnis des Skills gespeichert, was Speicherplatz oder Inodes verbraucht. Das Problem umgeht die Extraktionsbudgets von OpenClaw, führt jedoch nicht automatisch zur Ausführung der Archivinhalte. Behoben in Version 2026.8.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.