CVE-2026-100556 in openclaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm openclaw) en las versiones >= 2026.5.2 y < 2026.8.1 contiene una vulnerabilidad de autorización incorrecta en el manejo de grupos de WhatsApp. Un remitente del grupo que está admitido para mensajes ordinarios pero denegado por la directiva commands.allowFrom o la autorización del comando owner puede emitir el comando /new <model> para restablecer la sesión compartida del grupo y persistir una anulación del proveedor y del modelo. Esto permite a un miembro del grupo con comandos denegados seleccionar un proveedor y un modelo ya permitidos por el operador para turnos posteriores en la sesión grupal compartida, lo que podría cambiar el enrutamiento del proveedor, los costos, el flujo de datos o la disponibilidad. No permite agregar un nuevo proveedor ni ejecutar comandos host. El problema está corregido en la versión 2026.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.