CVE-2026-100541 in OpenClaw
Riassunto
di VulDB • 26/09/2026
L'integrazione di Matrix di OpenClaw (pacchetto npm @openclaw/matrix) nelle versioni >= 2026.2.2 e < 2026.8.1 converte in minuscolo gli ID utente completi di Matrix — inclusi i localpart storici e la porzione server-name, che è case-sensitive — durante il processo di derivazione dell'identità di autorizzazione OpenClaw. Di conseguenza, account Matrix autenticati distinti possono normalizzarsi nella stessa identità di autorizzazione. Un partecipante a Matrix in possesso di un identificatore di account collidente (un identificativo valido per il protocollo che differisce da quello configurato solo per caratteri soggetti a folding case/Unicode da parte di OpenClaw; non è richiesto l'abbinamento del display-name) può ereditare le autorizzazioni allowlist, owner-command, exec-approval o plugin-approval configurate per un altro account. Il problema è risolto nella versione 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.