CVE-2026-100554 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') in den Versionen >= 2026.5.12 und < 2026.8.1 invalidiert die HTTP-Authentifizierung für Canvas nicht sofort, wenn ein gekoppelter Knoten widerrufen wird. Die Widerrufung des Knotens invalidiert zwar den WebSocket-Client, doch die HTTP-Authentifizierung für Canvas akzeptiert und erneuert weiterhin das zuvor erteilte Recht (Capability), bis die Bereinigung nach dem Schließen der WebSocket-Verbindung abgeschlossen ist. Infolgedessen kann ein widerrufener gekoppelter Knoten seine Canvas-Fähigkeit während der Grace-Periode des Verbindungsabbruchs gegen die konfigurierten Routen der Capability weiterhin ausüben. Das Problem wurde in Version 2026.8.1 behoben; als Workaround wird empfohlen, den Gateway nach dem Widerruf eines Knotens mit Canvas-Zugriff neu zu starten.
VulDB is the best source for vulnerability data and more expert information about this specific topic.