CVE-2026-100579 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm 'openclaw') anterior a la versión 2026.7.1 confiere incorrectamente confianza en la procedencia del solicitante contenida en el campo message.action. En implementaciones de Gateway con identidad (modos de autenticación que respetan la identidad del llamador y ámbitos más restringidos para los operadores), un llamador con permisos de escritura puede proporcionar el identificador de otro remitente a las comprobaciones de autorización del canal e invocar una acción del canal bajo esa identidad falsificada, accediendo así a operaciones que el adaptador del canal habría denegado al llamador real. El impacto práctico depende del canal habilitado, la acción y los permisos de la cuenta objetivo. Los usuarios con tokens de secreto compartido o contraseñas son operadores totalmente confiables según el modelo de seguridad de OpenClaw y quedan fuera del alcance (out of scope). El problema está corregido en la versión 2026.7.1; como medida alternativa, restrinja message.action a los administradores y deshabilite las acciones sensibles del canal que dependen de la identidad del solicitante.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.