CVE-2026-100546 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket `openclaw`) in den Versionen >= 2026.7.2 und < 2026.9.2 enthält eine Race Condition im Pfad für die Echtzeit-Stimmtranskription von Discord. Durch gleichzeitige, kontrollklassifizierte Stimmtranskripte kann nach einer asynchronen Kontrollprüfung der Sprecherkontext eines anderen Teilnehmers verbraucht werden, wodurch ein Transkript den Eigentümerstatus eines anderen Sprechers übernimmt. In Discord-Agent-Proxy-Stimmsitzungen, die den betroffenen Echtzeit-Kontrollpfad nutzen, könnte eine Äußerung eines Nicht-Eigentümer-Teilnehmers an die nachgelagerte Agentengrenze gelangen und dort als Eigentümeraussage markiert werden, sodass eigentumssensitive Verhaltensweisen auf den falschen Sprecher angewendet werden. Die Ausnutzung hängt von der gleichzeitigen Transkript-Timing sowie den dem betroffenen Agenten zur Verfügung stehenden Tools und Befehlen ab. Das Problem ist in Version 2026.9.2 behoben; als Workaround sollte die Echtzeit-Stimmfunktion von Discord für Agents deaktiviert werden, die zwischen Eigentümer- und Nicht-Eigentümer-Sendern unterscheiden.
If you want to get best quality of vulnerability data, you may have to visit VulDB.