CVE-2026-100588 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm 'openclaw') anterior a la versión 2026.7.1 no aplica el requisito de alcance de administrador para el control del navegador cuando se accede mediante el método node.invoke, aunque el acceso directo a browser.request sí requiere dicho alcance de administrador. En implementaciones de Gateway que respetan la identidad del llamador y alcances más restrictivos para los operadores, un usuario con permisos de escritura (write-scoped) que tenga acceso a un nodo conectado capaz de ejecutar operaciones en el navegador puede inspeccionar páginas web, navegar por las pestañas o interactuar con aplicaciones visibles en el navegador sin cumplir con el requisito administrativo configurado; el impacto práctico depende del perfil del navegador y del estado de inicio de sesión. Los usuarios autenticados mediante token de secreto compartido (shared-secret) y contraseña se consideran operadores completamente confiables bajo el modelo de seguridad de OpenClaw y no se ven afectados por esta vulnerabilidad. El problema está resuelto en la versión 2026.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.