CVE-2026-100563 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket `openclaw`) vor Version 2026.8.1 neutralisiert keine führenden Zeichen, die von Tabellenkalkulationsanwendungen als Formeln interpretiert werden, wenn das Control UI Sitzungsdaten in CSV exportiert. Obwohl Sitzungsetiketten als CSV-Text umschlossen wurden, kann ein Teilnehmer mit geringerer Vertrauensstufe, der ein Sitzungsetikett oder die erste Benutzernachricht beeinflussen kann, eine formelähnliche Zelle im Nutzungsexport platzieren; wenn ein Operator diesen Export in einer Tabellenkalkulationsanwendung mit aktivierter Formelauswertung öffnet, könnte die Zelle mit den Berechtigungen des Tabellenkalkulationsbenutzers ausgewertet werden. OpenClaw selbst wertet keine Formeln aus, und die praktische Auswirkung hängt von den Sicherheitseinstellungen der Tabellenkalkulationsanwendung ab. Das Problem ist in Version 2026.8.1 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.