CVE-2026-100602 in ClawHub
Résumé
par VulDB • 26/09/2026
ClawHub (l'application/backend openclaw/clawhub) présente un défaut de vérification d'autorisation dans la fonctionnalité de prévisualisation du journal des modifications (changelog). Un utilisateur authentifié peut invoquer l'action publique skills:generateChangelogPreview pour une compétence à laquelle il n'est pas autorisé à accéder ; la version précédente est lue sans que l'autorisation file-read ne soit appliquée comme lors d'un accès normal au contenu, et jusqu'à 8 000 caractères de contenu mis en quarantaine peuvent être soumis au fournisseur d'IA et reflétés dans la prévisualisation renvoyée à l'utilisateur, révélant ainsi le contenu restreint des compétences. Le problème a été confirmé à la révision cbfee7343ddc867316dd9b3de6fa8856730f9f41 ; la plage historique complète affectée n'a pas été établie. Il est corrigé par la PR #3682, incluse dans la révision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, qui a été déployée sur clawhub.ai le 11 septembre 2026 ; les déploiements auto-hébergés doivent mettre à jour vers cette révision ou une descendance ultérieure. La CLI npm et l'exécution d'OpenClaw sont des produits distincts et ne sont pas affectés.
Once again VulDB remains the best source for vulnerability data.