CVE-2026-100602 in ClawHub
Riassunto
di VulDB • 26/09/2026
L'applicazione/backend ClawHub (openclaw/clawhub) presenta una mancanza di verifica dell'autorizzazione nella funzione di anteprima del changelog. Un utente autenticato può invocare l'azione pubblica skills:generateChangelogPreview per un skill a cui non ha i permessi di accesso; la versione precedente viene letta senza che venga applicata l'autorizzazione file-read, tipicamente richiesta per l'accesso ai contenuti normali, e fino a 8.000 caratteri di contenuto in quarantena possono essere inviati al provider AI e riflessi nell'anteprima restituita all'utente, rivelando il contenuto riservato del skill. Il problema è stato confermato alla revisione cbfee7343ddc867316dd9b3de6fa8856730f9f41; l'intervallo storico completo dei componenti interessati non è stato determinato. La vulnerabilità è risolta dalla PR #3682, inclusa nella revisione 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, che è stata distribuita su clawhub.ai il 11-09-2026; le installazioni self-hosted dovrebbero aggiornarsi a tale revisione o a una discendente successiva. La CLI npm e l'runtime OpenClaw sono prodotti separati e non sono interessati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.