CVE-2026-100579 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') vor Version 2026.7.1 vertraut der Provenienz des Anfragenden in message.action fehlerhaft. In Gateway-Deployments mit Identitätsnachweis (Authentifizierungsmodi, die die Identität des Aufrufers respektieren und engere Operator-Berechtigungen verwenden), kann ein schreibberechtigter Aufrufer den Bezeichner eines anderen Absenders für die Kanal-Autorisierungsprüfungen angeben und eine Kanalaktion unter dieser gefälschten Anfragenden-Identität aufrufen, wodurch Vorgänge erreicht werden können, die dem echten Aufrufer vom Kanaladapter verweigert worden wären. Die praktische Auswirkung hängt vom aktivierten Kanal, der Aktion und den Berechtigungen des Zielkontos ab. Caller mit Shared-Secret-Token und Passwort sind im Sicherheitsmodell von OpenClaw voll vertrauenswürdige Operatoren und liegen außerhalb des Geltungsbereichs. Das Problem ist in Version 2026.7.1 behoben; als Workaround sollte message.action auf Administratoren beschränkt und sensible Kanalaktionen, die sich auf die Anfragenden-Identität stützen, deaktiviert werden.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.