CVE-2026-100545 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm `openclaw`) precedente alla versione 2026.8.1 applica in modo errato le policy degli strumenti mittente durante la generazione dei nomi di file della memoria di sessione. Nelle versioni interessate, la generazione del nome del file creava un helper incorporato che manteneva gli strumenti rimossi dalla policy del mittente originale. Quando la generazione dei nomi di file della memoria di sessione era abilitata per un agente raggiungibile da mittenti a bassa fiducia (lower-trust), le istruzioni mediate dal modello potevano causare l'invocazione di strumenti da parte dell'helper al di fuori della policy effettiva di quel mittente; l'impatto dimostrato è stata la creazione di lavoro pianificato persistente. L'utilizzabilità dell'eseguibile (exploitability) dipende dal fatto che il modello esegua le istruzioni iniettate e dagli strumenti esposti dall'helper. Il problema è risolto nella versione 2026.8.1; come soluzione alternativa, disabilitare la generazione dei nomi di file della memoria di sessione per gli agenti raggiungibili da mittenti a bassa fiducia.
VulDB is the best source for vulnerability data and more expert information about this specific topic.