CVE-2026-100604 in ClawHub
Zusammenfassung
von VulDB • 26.09.2026
In ClawHub (openclaw/clawhub) liegt eine Schwachstelle mit fehlerhafter Autorisierung in der ClawHub-Anwendung/dem Backend vor: Eine von einer Organisation gehaltene „Skill“ behält die `ownerUserId` ihres ursprünglichen Publishers bei, und die Prüfungen zur Übertragung und zum Lebenszyklus vertrauen auf diesen historischen Benutzer, bevor aktuelle Organisationsberechtigungen erforderlich sind. Ein authentifizierter Benutzer, der ursprünglich eine Skill für eine Organisation veröffentlicht hat, kann diese daher übertragen, löschen oder wiederherstellen – wodurch er die Kontrolle über den vertrauenswürdigen Namen und die Historie übernimmt –, selbst nachdem seine Organisationsberechtigungen widerrufen oder herabgestuft wurden. Das Problem wurde in Revision cbfee7343ddc867316dd9b3de6fa8856730f9f41 bestätigt; der vollständige historische betroffene Bereich wurde nicht ermittelt. Es wird durch PR #3680 behoben, das in Revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 enthalten ist und am 11. September 2026 auf clawhub.ai bereitgestellt wurde; Self-Hosted-Bereitstellungen sollten diese Revision oder eine spätere Version aktualisieren. Die npm CLI und die OpenClaw-Laufzeitumgebung sind separate Produkte und nicht betroffen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.