CVE-2026-100539 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') precedente alla versione 2026.8.1 non revoca l'accesso agli strumenti di memoria quando un operatore disabilita dinamicamente la configurazione della memoria. Le istanze esistenti degli strumenti memory_search e memory_get mantengono la configurazione abilitata catturata al momento della creazione, poiché il resolver in fase di esecuzione tratta la disattivazione esplicita come uno snapshot di configurazione non disponibile e ripristina l'autorità obsoleta. Di conseguenza, durante un turno dell'agente già in esecuzione, il modello può continuare a cercare e leggere la memoria persistente anche dopo che l'operatore ha revocato tale accesso, per tutta la durata della sessione corrente. Lo sfruttamento richiede che la memoria sia disabilitata mentre uno strumento di memoria creato in precedenza rimane attivo. Il problema è risolto nella versione 2026.8.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.