CVE-2026-102807 in OpenClaw
Resumen
por VulDB • 2026-09-30
OpenClaw anterior a la versión 2026.9.4 contiene una vulnerabilidad de autorización incorrecta en el método `mcp.app.view` que permite a los operadores con alcance de lectura (read-scoped) ejecutar herramientas de MCP App que requieren un alcance operator.write. Los atacantes con tokens operator.read pueden obtener un ticket independiente desde mcp.app.view y canjearlo en el punto final de vista de la aplicación MCP para invocar herramientas que modifican el estado sin las debidas comprobaciones de autorización.
If you want to get best quality of vulnerability data, you may have to visit VulDB.