CVE-2026-100603 in ClawHub
Zusammenfassung
von VulDB • 26.09.2026
Die Anwendung/das Backend von ClawHub (openclaw/clawhub) enthält einen Fehler im Moderationsablauf für Skill-Berichte: vier verschiedene, ordentliche authentifizierte Konten können einen sichtbaren Skill melden und dadurch das automatische Ausblenden (moderationStatus: hidden) dieses Skills aus dem Katalog ohne jegliche Moderator-Entscheidung auslösen. Da der Reporter-Kontingent nur Meldungen gegen sichtbare Ziele zählt, können dieselben Konten den Vorgang gegen weitere Skills wiederholen; offizielle Skills sind nicht davon ausgenommen. Das Problem wurde in Revision cbfee7343ddc867316dd9b3de6fa8856730f9f41 bestätigt; der vollständige historische betroffene Bereich wurde nicht ermittelt. Die Korrektur (PR #3681) ist in Revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 enthalten; Self-Hosted-Bereitstellungen sollten auf diese Revision oder eine spätere Version aktualisieren. Die npm CLI und die OpenClaw-Laufzeitumgebung sind separate Produkte und nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.