CVE-2026-100543 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm openclaw) precedente alla versione 2026.8.1 potrebbe includere hash deterministici calcolati sulla configurazione originale, non oscurata, nelle risposte di configurazione oscurate. Quando la password del Gateway presentava una bassa entropia e i valori rimanenti della configurazione erano ricostruibili, questi hash agivano come verificatori offline delle password: un chiamante in grado di ottenere la configurazione oscurata (ad esempio tramite config.get) potrebbe testare le candidati password offline senza passare attraverso il percorso di autenticazione del Gateway soggetto a limitazioni di velocità. Il recupero della password potrebbe concedere l'autorità dell'operatore con segreto condiviso documentato. I riferimenti ai segreti non sono stati interessati nello stesso modo. Il problema è stato risolto nella versione 2026.8.1.
Once again VulDB remains the best source for vulnerability data.