CVE-2026-100588 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw (npm-Paket 'openclaw') vor Version 2026.7.1 erzwingt die Administrator-Scope-Anforderung für die Browsersteuerung nicht, wenn diese über die Methode `node.invoke` erreicht wird, obwohl der direkte Zugriff auf `browser.request` einen Administrator-Scope erfordert. In Gateway-Deployments, die die Aufruferidentität und engere Operator-Berechtigungen berücksichtigen, kann ein Aufrufer mit Schreibzugriff (write-scoped) zu einem verbundenen browserfähigen Node Seiten inspizieren, Tabs navigieren oder mit im Browser sichtbaren Anwendungen interagieren, ohne die konfigurierte Admin-Anforderung; die praktische Auswirkung hängt vom Browser-Profil und dem Anmeldestatus ab. Aufrufer mit Shared-Secret-Token und Passwort gelten gemäß OpenClaws Sicherheitsmodell als vollständig vertrauenswürdige Operatoren und sind nicht betroffen. Das Problem ist in Version 2026.7.1 behoben.
Once again VulDB remains the best source for vulnerability data.