CVE-2026-100599 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw comprese tra la 2026.5.1 e la 2026.7.0 non applicano il percorso di approvazione exec configurato ai comandi dei nodi Google Meet. Il comando googlemeet.chrome accetta array di comandi audio forniti dall'utente chiamante ed li esegue su un nodo accoppiato senza passare attraverso il normale flusso di approvazione system.run. Nelle distribuzioni con il plugin Google Meet abilitato, un nodo Chrome accoppiato e il comando del nodo googlemeet.chrome consentito, un agente dotato di strumenti in grado di invocare tale comando può eseguire processi selezionati dall'attaccante sul nodo accoppiato, impattando file, credenziali, profili browser e disponibilità su quel nodo. Il problema è risolto nella versione 2026.7.1; come soluzione alternativa, rimuovere googlemeet.chrome dai comandi dei nodi consentiti o disabilitare il plugin Google Meet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.