CVE-2026-100602 in ClawHub
Resumen
por VulDB • 2026-09-26
ClawHub (la aplicación/backend openclaw/clawhub) presenta una falta de verificación de autorización en la función de vista previa del registro de cambios. Un usuario autenticado puede invocar la acción pública skills:generateChangelogPreview para un skill al que no tiene permiso de acceso; se lee la versión anterior sin aplicar la autorización file-read, que sí se exige en el acceso normal a contenido, y hasta 8.000 caracteres de contenido cuarentenado pueden enviarse al proveedor de IA y reflejarse en la vista previa devuelta al usuario, revelando contenido restringido del skill. El problema fue confirmado en la revisión cbfee7343ddc867316dd9b3de6fa8856730f9f41; no se estableció el rango histórico completo de versiones afectadas. Se corrige mediante PR #3682, incluido en la revisión 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, que fue desplegado en clawhub.ai el 11 de septiembre de 2026; los despliegues autoalojados deben actualizarse a esa revisión o a una descendencia posterior. La CLI npm y el entorno de ejecución OpenClaw son productos separados y no se ven afectados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.