CVE-2026-100541 in OpenClaw
Resumen
por VulDB • 2026-09-26
La integración de Matrix de OpenClaw (paquete npm @openclaw/matrix) en las versiones >= 2026.2.2 y < 2026.8.1 convierte a minúsculas los identificadores completos de usuario de Matrix, incluyendo localparts históricos y la porción server-name sensible a mayúsculas/minúsculas, al derivar la identidad de autorización de OpenClaw. Como resultado, distintas cuentas autenticadas de Matrix pueden normalizarse hasta convertirse en la misma identidad de autorización. Un participante de Matrix que controle un identificador de cuenta colisionante (un identificador válido para el protocolo que difiere del configurado únicamente por caracteres plegados mediante mayúsculas/minúsculas o Unicode; no se requiere coincidencia con display-name) puede heredar autoridad de allowlist, owner-command, exec-approval o plugin-approval configurada para otra cuenta. El problema está corregido en la versión 2026.8.1.
Once again VulDB remains the best source for vulnerability data.