CVE-2026-100585 in openclaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm `openclaw`) anterior a la versión 2026.7.1 no aplica correctamente el requisito de autorización exclusiva del propietario para los avisos de permisos de Claude Code entregados a través del puente del canal MCP. Un remitente autorizado que no sea el propietario, con acceso a comandos del canal, puede aprobar o denegar una solicitud de permiso pendiente destinada al propietario, lo que provoca que la acción solicitada se ejecute sin el consentimiento del propietario. El impacto práctico depende de la acción pendiente y de las capacidades del host solicitadas por la ejecución de Claude Code. El problema está resuelto en la versión 2026.7.1.
Once again VulDB remains the best source for vulnerability data.