CVE-2026-100528 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') antérieur à la version 2026.8.1 pourrait envoyer les identifiants d'un fournisseur tiers vers le point de terminaison incorrect. Dans les versions concernées, lorsqu'un fournisseur tiers utilise une API compatible avec OpenAI et que les métadonnées du modèle résolu ne comportent pas d'URL de base concrète, une session verrouillée qui persiste après un rechargement à chaud (hot reload) de la configuration du modèle conserve les identifiants de ce fournisseur tandis que le SDK OpenAI sélectionne son propre point de terminaison par défaut. Une requête résultante pourrait divulguer l'identifiant configuré du fournisseur tiers vers une extrémité d'un autre fournisseur et échouer avec une erreur d'authentification trompeuse. Les opérateurs ayant observé cette condition devraient révoquer les identifiants concernés. Le problème est corrigé dans la version 2026.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.