CVE-2026-100537 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') prima della versione 2026.8.1 non applica la policy degli strumenti efficace del richiedente originale durante il recupero automatico dell'Active Memory. Nelle distribuzioni che utilizzano Active Memory insieme a regole specifiche per i tool basate sul richiedente, percorsi di recall deterministici e nascosti possono recuperare memoria persistente (durable memory) ed iniettarla nel contesto dell'agente anche quando toolsBySender nega esplicitamente l'accesso ai tool di memoria (memory_search, memory_get) a tale richiedente. Di conseguenza, un mittente ammesso ma con accesso negato può ricevere informazioni derivate dalla memoria persistente nella risposta dell'agente senza invocare direttamente alcun tool di memoria. Il problema è risolto nella versione 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.