CVE-2026-100556 in openclaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (Paket openclaw) in den Versionen >= 2026.5.2 und < 2026.8.1 enthält eine Schwachstelle für fehlerhafte Autorisierung bei der Handhabung von WhatsApp-Gruppen. Ein Absender einer Gruppe, der zwar für normale Nachrichten zugelassen ist, aber durch die Konfiguration `commands.allowFrom` oder die Berechtigung des Owner-Befehls abgelehnt wird, kann den Befehl `/new <model>` ausführen, um die freigegebene Gruppensitzung zurückzusetzen und einen Provider- sowie Modelloberride beizubehalten. Dies ermöglicht es einem für Befehle nicht autorisierten Gruppenmitglied, einen vom Operator bereits zugelassenen Provider und ein Modell für nachfolgende Interaktionen in der freigegebenen Gruppensitzung auszuwählen, was möglicherweise die Provider-Routing-Kosten, den Datenfluss oder die Verfügbarkeit verändert. Es ist jedoch nicht möglich, neue Provider hinzuzufügen oder Befehle auf Systemebene auszuführen. Das Problem wurde in Version 2026.8.1 behoben.
Once again VulDB remains the best source for vulnerability data.