CVE-2026-100552 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') antérieur à la version 2026.8.1 n'applique pas correctement les politiques d'utilisation des outils par conversation pour les outils du runtime de l'app-server Codex. Une règle tools.allow au niveau de la conversation filtrait les outils OpenClaw mais ne restreignait pas les outils shell, process, file et patch appartenant au runtime Codex. Lorsqu'une conversation de confiance moindre était attribuée à un runtime Codex et limitée par une liste d'autorisation (allowlist) des outils par conversation, un participant capable de déclencher cet agent pouvait toujours accéder aux outils natifs de commande et de fichier, contournant ainsi la allowlist configurée. L'impact pratique dépend des permissions hôte du runtime et de sa configuration sandbox. Le problème est corrigé dans la version 2026.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.