CVE-2026-100528 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') precedente alla versione 2026.8.1 potrebbe inviare le credenziali di un provider di terze parti all'endpoint errato. Nelle versioni interessate, quando un provider di terze parti utilizza un API compatibile con OpenAI e i metadati del modello risolto non includono un URL base concreto, una sessione vincolata che prosegue dopo il hot reload della configurazione del modello mantiene le credenziali di quel provider mentre l'SDK OpenAI seleziona il proprio endpoint predefinito. Una richiesta risultante potrebbe divulgare la credenziale configurata per il provider di terze parti a un endpoint di un provider non correlato e fallire con un errore di autenticazione fuorviante. Gli operatori che hanno osservato questa condizione dovrebbero ruotare le credenziali interessate. Il problema è stato risolto nella versione 2026.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.