CVE-2026-100561 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm 'openclaw') versiones >= 2026.3.22 y < 2026.8.1 contienen un fallo de elusión de aprobación en la política de aprobación de exec: la política podría confiar en un envoltorio que ejecuta comandos sin inspeccionar el comando transportado en sus argumentos. Después de que un operador haya incluido en una lista blanca o aprobado permanentemente una invocación benigna del envoltorio, una posterior ejecución por parte del agente podría sustituir un comando interno arbitrario y ejecutarlo con los privilegios del host del proceso OpenClaw sin requerir una nueva aprobación. La explotación requiere que el envoltorio relevante se resuelva en el host y una decisión previa del operador que permita dicho envoltorio. Los transportadores transparentes de shell y las utilidades opacas, como monitores de procesos, rastreadores (tracers), herramientas de namespace y wrappers proxy, se vieron afectados debido a lagunas relacionadas en la resolución de confianza. Corregido en 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.