CVE-2026-100580 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') prima della versione 2026.7.1 gestisce in modo improprio la sensibilità al maiuscolo/minuscolo nello strumento cron rivolto ai modelli: un payload di tipo con lettere maiuscole e minuscole può superare il guardrail dell'esecuzione shell rivolto agli agenti e successivamente essere normalizzato in un lavoro cron. Un attore in grado di dirigere un agente abilitato per gli strumenti può quindi creare un lavoro cron persistente che esegue comandi selezionati dall'attaccante con i privilegi dell'utente del processo OpenClaw, risultando nell'accesso ai file e alle credenziali dell'host e nell'impatto sulla disponibilità dei servizi pianificati. Il problema è limitato ai lavori cron creati o modificati tramite lo strumento cron rivolto ai modelli; le superfici di programmazione diretta della CLI e authorized Gateway sono considerate controlli affidabili per gli operatori autorizzati. Risolto nella versione 2026.7.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.