CVE-2026-100545 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (le package npm `openclaw`) antérieur à la version 2026.8.1 applique incorrectement les politiques des outils émetteurs lors de la génération du nom de fichier pour la mémoire de session. Dans les versions concernées, la génération du nom de fichier créait un assistant intégré qui conservait des outils que la politique de l'émetteur d'origine avait supprimés. Lorsque la génération du nom de fichier pour la mémoire de session était activée pour un agent accessible par des émetteurs de confiance moindre, des instructions médiatisées par le modèle pouvaient amener l'assistant à invoquer des outils en dehors de la politique effective de cet émetteur ; l'impact démontré a été la création d'un travail planifié persistant. L'exploitabilité dépend du fait que le modèle exécute l'injection d'instruction et des outils exposés par l'assistant. Le problème est corrigé dans la version 2026.8.1 ; en attendant, désactivez la génération du nom de fichier pour la mémoire de session pour les agents accessibles par des émetteurs de confiance moindre.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.