CVE-2026-100579 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') precedente alla versione 2026.7.1 si fida in modo errato della provenienza del richiedente nel campo `message.action`. Nelle distribuzioni di Gateway con identità (modalità di autenticazione che rispettano l'identità del chiamante e ambiti degli operatori più ristretti), un chiamante con ambito di scrittura può fornire l'identificatore di un altro mittente nei controlli di autorizzazione dei canali ed eseguire un'azione sul canale utilizzando tale identità del richiedente falsificata, ottenendo operazioni che il adattatore del canale avrebbe negato al vero chiamante. L'impatto pratico dipende dal canale abilitato, dall'azione e dai permessi dell'account target. I caller con token a segreto condiviso o password sono operatori completamente fidati secondo il modello di sicurezza di OpenClaw ed esulano dallo scope della vulnerabilità. Il problema è risolto nella versione 2026.7.1; come soluzione alternativa, limitare `message.action` agli amministratori e disabilitare le azioni dei canali sensibili che si basano sull'identità del richiedente.
Once again VulDB remains the best source for vulnerability data.