CVE-2026-100584 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw ist eine über npm verteilte Agent-Laufzeitumgebung. In den Versionen >= 2026.2.26 und < 2026.7.1 konnte die Analyse von PowerShell-Befehlen auf Windows-Hosts, die im Exec-Allowlist-Modus ausgeführt werden, ein exakt aus dem PATH aufgelöstes ausführbares Programm genehmigen, anschließend jedoch eine gleichnamige ausführbare Datei im Arbeitsverzeichnis (Workspace) ausführen. Wenn Inhalte mit geringerer Vertrauensstufe eine ausführbare Datei mit einem zugelassenen Basisnamen in einen vom Agent beschreibbaren Workspace platzieren und einen zugelassenen PowerShell-Befehl steuern können, der einen bloßen Ausführungsdateinamen verwendet, kann OpenClaw die Datei im Workspace anstelle des allowlisteten Pfads ausführen und beliebigen Code mit den Berechtigungen des Gateway- oder Node-Host-Benutzers ausführen. Das Problem erfordert keinen Austausch der zugelassenen ausführbaren Datei selbst. Die Version 2026.7.1 enthält eine Korrektur; als Workaround sollten in zugelassenen PowerShell-Befehlen keine bloßen Ausführungsdateinamen verwendet und ausführbare Dateien außerhalb von vom Agent beschreibbaren Workspaces gehalten werden.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.