CVE-2026-100547 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw ist ein Coding-Agent, der als npm-Paket `openclaw` verbreitet wird. In den betroffenen Versionen (2026.7.1 bis 2026.7.2) wurden alternative, aber gültige Schreibweisen von `file:`-URLs, die über das Agent Client Protocol (ACP) übermittelt wurden, als relative Pfade behandelt und fälschlicherweise als Lesezugriffe klassifiziert, die auf das Arbeitsverzeichnis der Sitzung beschränkt sind. Wenn ein Operator den Befehl `openclaw acp client` mit einem nicht vertrauenswürdigen oder kompromittierten ACP-Peer verband, konnte dieser Peer eine Datei außerhalb des Sitzungsarbeitsverzeichnisses lesen lassen, ohne dass die für diesen Pfad normalerweise erforderliche Bestätigungsabfrage erfolgte. Dies führte zur Offenlegung lokaler Dateiinhalte. Die nachgewiesene Auswirkung beschränkt sich auf die Vertraulichkeit von Dateien; Tool-Klassen mit Mutation- und Befehlsfähigkeiten sind nicht betroffen. Dieses Problem wurde in OpenClaw 2026.8.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.