CVE-2026-100604 in ClawHub
Resumen
por VulDB • 2026-09-26
ClawHub (openclaw/clawhub) presenta una vulnerabilidad de autorización incorrecta en la aplicación/backend de ClawHub: un skill propiedad de una organización conserva el ownerUserId del editor original, y las comprobaciones de autorización para transferencia y ciclo de vida confían en ese usuario histórico antes de requerir los privilegios actuales de la organización. Por lo tanto, un usuario autenticado que originalmente publicó un skill de la organización puede transferirlo, eliminarlo o restaurarlo —tomando el control de su nombre e historial de confianza— incluso después de que sus privilegios de organización hayan sido revocados o degradados. El problema se confirmó en la revisión cbfee7343ddc867316dd9b3de6fa8856730f9f41; no se estableció el rango histórico completo afectado. Se soluciona mediante PR #3680, incluido en la revisión 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, que fue implementado en clawhub.ai el 2026-09-11; los despliegues autoalojados deben actualizarse a esa revisión o a un descendiente posterior. La CLI de npm y la runtime de OpenClaw son productos separados y no están afectados.
Once again VulDB remains the best source for vulnerability data.