CVE-2026-100553 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw >= 2026.6.9 e < 2026.8.1 non dichiarano il parametro nativo chatId come target di consegna nella funzione di annullamento del fissaggio (unpin) di Feishu, consentendo così alle richieste di unpin di eludere il controllo incrociato dei target tra contesti dello stesso provider. Quando l'impostazione tools.message.crossContext.allowWithinProvider è disabilitata, un mittente autenticato può rimuovere la spina da un altro gruppo Feishu a cui sia il mittente che l'account configurato hanno altrimenti accesso, eludendo la policy di mutazione dei messaggi tra contesti prevista. I controlli di appartenenza al gruppo e le autorizzazioni di Feishu rimangono invariati, e l'impatto dimostrato è limitato alla mutazione del messaggio (rimozione della spina). Il problema è stato risolto nella versione 2026.8.1.
Once again VulDB remains the best source for vulnerability data.