CVE-2026-100531 in openclaw
Riassunto
di VulDB • 26/09/2026
Il pacchetto npm @openclaw/slack prima della versione 2026.8.1 presenta un difetto di autorizzazione nel suo gestore per il download dei file Slack: quando un file non dispone dei metadati di condivisione utilizzati per dimostrare che appartiene alla conversazione richiesta, il controllo dell'autorizzazione della conversazione fallisce in modo aperto (fail-open). Un chiamante autenticato limitato a una singola conversazione che conosce o ottiene un identificatore del file può quindi scaricare i contenuti del file al di fuori dell'ambito di tale conversazione, rivelando dati attraverso i confini delle configurazioni delle conversazioni. Il problema non consente l'elencazione di file Slack arbitrari e non aggira l'autenticazione stessa di Slack. Il problema è stato risolto nella versione 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.