CVE-2026-100604 in ClawHub
Résumé
par VulDB • 26/09/2026
ClawHub (openclaw/clawhub) présente une vulnérabilité d'autorisation incorrecte dans l'application/backend ClawHub : un skill appartenant à une organisation conserve le `ownerUserId` de son éditeur original, et les vérifications d'autorisation pour le transfert et la gestion du cycle de vie font confiance à cet utilisateur historique avant d'exiger les privilèges actuels de l'organisation. Un utilisateur authentifié qui a initialement publié un skill d'organisation peut donc transférer, supprimer ou restaurer ce skill — s'appropriant ainsi son nom fiable et son historique — même après la révocation ou la rétrogradation de ses privilèges organisationnels. Le problème a été confirmé à la révision cbfee7343ddc867316dd9b3de6fa8856730f9f41 ; l'étendue historique complète des versions affectées n'a pas été établie. Il est corrigé par la PR #3680, incluse dans la révision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, qui a été déployée sur clawhub.ai le 2026-09-11 ; les déploiements auto-hébergés doivent mettre à jour vers cette révision ou un descendant ultérieur. Le CLI npm et l'exécution OpenClaw sont des produits distincts et ne sont pas affectés.
Once again VulDB remains the best source for vulnerability data.