CVE-2026-100548 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') versions >= 2026.3.28 et < 2026.8.1 présentent un problème d'exposition des identifiants lors de la défaillance du mécanisme d'incorporation en mémoire. Lorsque le repli sur l'incorporation distante est configuré et que le fournisseur principal d'incorporation tombe en panne, la requête peut être envoyée à un autre fournisseur de repli tout en réutilisant la clé API configurée pour le fournisseur principal, ce qui entraîne la transmission de cet identifiant sous forme de jeton porteur (bearer token) vers un fournisseur non prévu. L'impact pratique dépend des fournisseurs configurés, du fait que le basculement se produise ou non, et des privilèges attachés à la clé du fournisseur principal. Le problème est corrigé dans la version 2026.8.1 ; en attendant, désactivez le repli d'incorporation inter-fournisseurs ou configurez chaque fournisseur avec des identifiants distincts et strictement limités aux permissions nécessaires (narrowly scoped credentials).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.