CVE-2026-100592 in OpenClaw
Zusammenfassung
von VulDB • 26.09.2026
OpenClaw ist ein Agent-Gateway, das über npm verteilt wird. In den Versionen >= 2026.4.10 und < 2026.7.1 werden bei persistenten Memory-Dreaming-Mutationen die Berechtigungsprüfungen für den Eigentümer übersprungen. Ein autorisierter Absender eines externen Kanals, der nicht der Eigentümer ist, kann die persistierenden Befehle '/dreaming on' und '/dreaming off' ausführen, um das Dreaming-Verhalten des Memory Core des Gateways zu aktivieren oder zu deaktivieren; dies führt dazu, dass die Hintergrundspeicherverarbeitung deaktiviert wird oder eine dauerhafte Speicherförderung wieder aktiviert wird, wo der Eigentümer erwartet hatte, dass sie deaktiviert bleibt. Die praktische Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit hängt vom gespeicherten Gesprächsmaterial und der nachfolgenden Speichernutzung ab. Der Nur-Lese-Status sowie die Hilfebefehle bleiben weiterhin von der normalen Befehlspolitik geregelt. Das Problem wurde in Version 2026.7.1 behoben. Als Workaround sollten Dreaming-Befehle in externen Kanälen deaktiviert oder der Zugriff auf Kanalbefehle auf Eigentümer beschränkt werden.
Once again VulDB remains the best source for vulnerability data.