CVE-2026-100535 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw (pacchetto npm 'openclaw') >= 2026.4.5 e < 2026.8.1 possono perdere le restrizioni del richiedente originale e la provenienza non attendibile quando il testo derivato dalla sessione viene persistito nella memoria della sessione. In ambienti di deployment in cui sono abilitati l'acquisizione della memoria della sessione e il "dreaming" (sogno), un mittente esterno con permessi limitati, i cui messaggi vengono accettati con strumenti ristretti, può persistere istruzioni che successivamente vengono fornite a un agente in background non presidiato ("dreaming") dotato di capacità più ampie per file e comandi, consentendo azioni oltre l'autorità del turno originale e influenzando file, comandi o servizi disponibili per tale agente. Lo sfruttamento richiede che il contenuto venga catturato, selezionato per l'elaborazione successiva e seguito dal modello. Il problema è risolto nella versione 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.