CVE-2026-100599 in OpenClaw
Resumen
por VulDB • 2026-09-26
Las versiones de OpenClaw comprendidas entre la 2026.5.1 y la 2026.7.0 no aplican el camino de aprobación de ejecución (exec approval path) configurado a los comandos del nodo Google Meet. El comando googlemeet.chrome acepta matrices de comandos de audio proporcionadas por el usuario y las ejecuta en un nodo emparejado sin pasar por el flujo normal de aprobación system.run. En implementaciones con el plugin de Google Meet habilitado, un nodo Chrome emparejado y el comando del nodo googlemeet.chrome permitido, un agente con herramientas capaz de invocar ese comando puede ejecutar procesos seleccionados por el atacante en el nodo emparejado, afectando archivos, credenciales, perfiles del navegador y la disponibilidad en dicho nodo. El problema está resuelto en la versión 2026.7.1; como medida temporal (workaround), se debe eliminar googlemeet.chrome de los comandos del nodo permitidos o deshabilitar el plugin de Google Meet.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.