CVE-2026-100554 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') versions >= 2026.5.12 et < 2026.8.1 n'invalident pas immédiatement l'autorisation HTTP de Canvas lorsqu'un noeud apparié est révoqué. La révocation du noeud invalide le client WebSocket, mais l'autorisation HTTP de Canvas continue d'accepter et de renouveler la capacité précédemment accordée jusqu'à ce que le nettoyage post-fermeture du WebSocket soit terminé. Par conséquent, un noeud apparié révoqué peut continuer à exercer sa capacité Canvas contre les routes configurées pour cette capacité pendant la période de grâce liée à la fermeture. Le problème est corrigé dans la version 2026.8.1 ; en attendant une solution définitive, redémarrer le Gateway après avoir révoqué un noeud disposant d'un accès Canvas constitue une parade appropriée.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.