CVE-2026-100538 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm 'openclaw') anterior a la versión 2026.8.1 no aplica las políticas de herramientas globales o per-agent toolsBySender del remitente original al manejar archivos adjuntos salientes. Un remitente que ha sido explícitamente denegado el acceso a herramientas de lectura de sistema de archivos puede aún así provocar la lectura y devolución de un archivo local conocido mediante una directiva media final-response o un archivo adjunto en mensaje, revelando el contenido del archivo local a un solicitante admitido cuyo turno de agente no incluía la herramienta de lectura. La explotación requiere conocimiento o deducción de una ruta útil del host y un flujo de entrega que acepte archivos adjuntos locales. El problema está corregido en la versión 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.