CVE-2026-100544 in voice-call
Zusammenfassung
von VulDB • 26.09.2026
Das Paket @openclaw/voice-call von openclaw vor Version 2026.8.1 startet den konfigurierten Agenten für klassische eingehende Sprachanrufe, ohne die Identität des Anrufers oder dessen Status als Nicht-Eigentümer weiterzuleiten. Infolgedessen kann das Filtern von Tools mit Eigentümerbeschränkung fehlschlagen und die normale Tool-Berechtigung des Agenten einem entfernten Anrufer offenlegen. Ein Anrufer, der durch die konfigurierte Richtlinie für eingehende Anrufe (offen, Pairing oder Allowlist) in einer Bereitstellung mit aktivierter eingehender Anruffunktion zugelassen wird, kann daher Tools steuern, die eigentlich dem vertrauenswürdigen Eigentümer vorbehalten sind, was je nach Konfiguration des Agentens das Lesen von Daten, Ändern von Dateien, Ausführen von Befehlen oder Steuern verbundener Dienste zur Folge haben kann. Das Problem wurde in Version 2026.8.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.