CVE-2026-100563 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (le package npm `openclaw`) antérieur à la version 2026.8.1 ne neutralise pas les caractères de début que les applications tableur interprètent comme des formules lors de l'exportation des données de session au format CSV par l'interface utilisateur de contrôle. Bien que les libellés de session soient mis entre guillemets en tant que texte CSV, un participant ayant une confiance moindre et pouvant influencer le libellé d'une session ou le premier message envoyé peut insérer une cellule ressemblant à une formule dans l'exportation des utilisations ; si un opérateur ouvre cet export dans une application tableur avec l'évaluation des formules activée, la cellule peut être évaluée en utilisant les autorisations de l'utilisateur du tableur. OpenClaw lui-même n'évalue pas la formule, et l'impact pratique dépend des paramètres de sécurité de l'application tableur utilisée. Le problème est corrigé dans la version 2026.8.1.
Once again VulDB remains the best source for vulnerability data.