CVE-2026-100554 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw (pacchetto npm 'openclaw') >= 2026.5.12 e < 2026.8.1 non invalidano immediatamente l'autorizzazione HTTP per Canvas quando un nodo associato viene revocato. La revoca del nodo invalida il client WebSocket, ma l'autorizzazione HTTP per Canvas continua ad accettare e rinnovare la capacità precedentemente concessa fino al completamento della pulizia post-chiusura di WebSocket. Di conseguenza, un nodo associato revocato può continuare a esercitare la propria capacità Canvas contro le route configurate per tale capacità durante il periodo di grazia (grace period) di chiusura. Il problema è risolto nella versione 2026.8.1; come soluzione alternativa, riavviare il Gateway dopo aver revocato un nodo con accesso Canvas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.