CVE-2026-100592 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw es una puerta de enlace para agentes distribuida mediante npm. En las versiones >= 2026.4.10 y < 2026.7.1, las mutaciones del "sueño" en memoria persistente omiten la verificación de permisos del propietario. Un remitente externo autorizado pero no propietario puede emitir los comandos persistentes '/dreaming on' (activar sueño) y '/dreaming off' (desactivar sueño) para habilitar o deshabilitar el comportamiento de "sueño" del Memory Core de la puerta de enlace, lo que desactiva el procesamiento de memoria en segundo plano o reactiva la promoción de memoria duradera donde el propietario esperaba que permaneciera desactivada; el impacto práctico sobre la confidencialidad, integridad y disponibilidad depende del material de conversación almacenado y su uso posterior. El estado de solo lectura y los comandos de ayuda siguen gobernados por la política normal de comandos. El problema está resuelto en la versión 2026.7.1. Como medida provisional, desactive los comandos de sueño en canales externos o restrinja el acceso a los comandos del canal únicamente a los propietarios.
If you want to get best quality of vulnerability data, you may have to visit VulDB.