CVE-2026-100602 in ClawHub
Zusammenfassung
von VulDB • 26.09.2026
In ClawHub (Anwendung/Backend openclaw/clawhub) fehlt eine Autorisierungsprüfung in der Funktion zur Vorschau des Änderungsprotokolls (Changelog). Ein angemeldeter Aufrufer kann die öffentliche Aktion skills:generateChangelogPreview für ein Skill aufrufen, auf das er nicht berechtigt ist; dabei wird die vorherige Version gelesen, ohne dass die dateilese-Autorisierung durchgesetzt wird, wie sie beim normalen Zugriff auf Inhalte gilt. Bis zu 8.000 Zeichen von in Quarantäne befindlichen Inhalten können an den KI-Anbieter übermittelt und im dem Aufrufer zurückgegebenen Vorschauergebnis widergespiegelt werden, wodurch eingeschränkter Skill-Inhalt offengelegt wird. Das Problem wurde in der Revision cbfee7343ddc867316dd9b3de6fa8856730f9f41 bestätigt; die vollständige historische betroffene Versionenreichweite wurde nicht ermittelt. Es ist durch PR #3682 behoben, das in der Revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 enthalten ist und am 11. September 2026 auf clawhub.ai bereitgestellt wurde; selbst gehostete Bereitstellungen sollten auf diese Revision oder eine spätere Abfolge aktualisieren. Die npm-CLI und die OpenClaw-Laufzeitumgebung sind separate Produkte und nicht betroffen.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.