CVE-2026-100538 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') prima della versione 2026.8.1 non applica la policy globale o per-agent toolsBySender del mittente originale quando gestisce gli allegati in uscita. Un mittente a cui sono stati esplicitamente negati gli strumenti di lettura del filesystem può comunque causare la lettura e il ritorno di un file locale noto tramite una direttiva media final-response o un allegato al messaggio, rivelando i contenuti dei file locali a un richiedente autenticato il cui turno dell'agent non includeva lo strumento read. Lo sfruttamento richiede la conoscenza o l'inferenza di un percorso host utile e un flusso di consegna che accetti allegati locali. Il problema è risolto nella versione 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.