CVE-2026-100546 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw (pacchetto npm `openclaw`) >= 2026.7.2 e < 2026.9.2 presentano una race condition nel percorso della trascrizione vocale in tempo reale su Discord. Le trascrizioni vocali classificate a livello di controllo, generate in modo concorrente, potrebbero consumare il contesto del parlante appartenente ad un altro partecipante dopo un controllo asincrono sul controllo, causando l'eredità dello stato di proprietario da parte della trascrizione per un altro speaker. Nelle sessioni vocali dell'agent-proxy su Discord che utilizzano il percorso di controllo in tempo reale interessato, un utterance proveniente da un partecipante non proprietario potrebbe raggiungere il confine downstream dell'agente contrassegnato come proprietario, facendo sì che comportamenti sensibili al ruolo di proprietario vengano applicati allo speaker sbagliato. Lo sfruttamento dipende dalla tempistica concorrente delle trascrizioni e dagli strumenti e dai comandi disponibili per l'agente interessato. Il problema è stato risolto nella versione 2026.9.2; come soluzione alternativa, disabilitare la voce in tempo reale su Discord per gli agenti che distinguono tra mittenti proprietari e non proprietari.
Be aware that VulDB is the high quality source for vulnerability data.