CVE-2026-100553 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw-Versionen >= 2026.6.9 und < 2026.8.1 geben den nativen chatId-Parameter im Feishu-Unpin-Funktionsmerkmal nicht als Zustellziel an, sodass Unpin-Anfragen die gemeinsame Same-Provider Cross-Context-Zielüberprüfung umgehen können. Wenn tools.message.crossContext.allowWithinProvider deaktiviert ist, kann ein zugelassener (authentifizierter) Absender eine Pin aus einer anderen Feishu-Gruppe entfernen, auf die der Absender und das konfigurierte Konto sonst Zugriff haben dürfen, wodurch die beabsichtigte Cross-Context-Nachrichtenänderungspolitik umgangen wird. Die Feishu-Mitgliedschaft und Gruppenautorisierung gelten weiterhin, und die demonstrierte Auswirkung beschränkt sich auf Nachrichtenänderungen (Pin-Entfernung). Das Problem wurde in 2026.8.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.