CVE-2026-100548 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') in den Versionen >= 2026.3.28 und < 2026.8.1 weist ein Problem zur Offenlegung von Anmeldeinformationen im Speicher-Embedding-Failover auf. Wenn das Fallback für Remote-Embedding konfiguriert ist und der primäre Embedding-Anbieter ausfällt, kann die Anfrage an einen anderen Fallback-Anbieter gesendet werden, wobei weiterhin der API-Schlüssel des primären Anbieters wiederverwendet wird, was dazu führt, dass diese Anmeldeinformationen als Bearer-Token an einen unbeabsichtigten Anbieter übermittelt werden. Die praktische Auswirkung hängt von den konfigurierten Anbietern ab, davon, ob ein Failover auftritt, und von den mit dem Schlüssel des primären Anbieters verbundenen Berechtigungen. Das Problem wurde in Version 2026.8.1 behoben; als Workaround sollte das anbieterübergreifende Embedding-Failover deaktiviert oder jeder Anbieter separat mit eng begrenzten Anmeldeinformationen konfiguriert werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.