CVE-2026-100543 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket openclaw) vor Version 2026.8.1 könnte deterministische Hashes, die über die ursprüngliche, nicht redigierte Konfiguration berechnet wurden, in redigierten Konfigurationsantworten enthalten. Wenn das Gateway-Kennwort eine geringe Entropie aufwies und die übrigen Konfigurationswerte rekonstruierbar waren, dienten diese Hashes als Offline-Passwortprüfer: Ein Aufrufer, der in der Lage war, die redigierte Konfiguration zu erhalten (z. B. über config.get), konnte Passwortkandidaten offline testen, ohne den ratengesteuerten Gateway-Authentifizierungspfad durchlaufen zu müssen. Das Wiederherstellen des Passworts könnte die dokumentierte Operator-Berechtigung für das gemeinsame Geheimnis gewähren. Secret References waren auf diese Weise nicht betroffen. Das Problem wurde in Version 2026.8.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.