CVE-2026-100588 in OpenClaw
Résumé
par VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') antérieur à la version 2026.7.1 n'impose pas l'exigence de portée administrateur pour le contrôle du navigateur lorsqu'il est accédé via la méthode node.invoke, bien que l'accès direct par browser.request nécessite une portée d'administrateur. Dans les déploiements en passerelle (Gateway) qui respectent l'identité de l'appelant et des portées opérateur plus restrictives, un appelant disposant d'une portée en écriture et ayant accès à un nœud capable de gérer un navigateur peut inspecter des pages, naviguer entre les onglets ou interagir avec des applications visibles dans le navigateur sans respecter la contrainte administrative configurée ; l'impact pratique dépend du profil du navigateur et de l'état de connexion. Les appelants utilisant un jeton à secret partagé (shared-secret token) ou un mot de passe sont considérés comme des opérateurs entièrement fiables selon le modèle de sécurité d'OpenClaw et ne sont pas affectés par cette vulnérabilité. Le problème est corrigé dans la version 2026.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.