CVE-2026-100604 in ClawHub
Riassunto
di VulDB • 26/09/2026
ClawHub (openclaw/clawhub) presenta una vulnerabilità di autorizzazione errata nell'applicazione/backend ClawHub: un'skill posseduta da un'organizzazione conserva l'userID del suo editore originale, e i controlli di autorizzazione per il trasferimento e il ciclo di vita si affidano a tale utente storico prima di richiedere le attuali privilegi dell'organizzazione. Un utente autenticato che ha originariamente pubblicato una skill di organizzazione può quindi trasferire, eliminare o ripristinare tale skill — assumendo il controllo del suo nome attendibile e della sua cronologia — anche dopo la revoca o l'abbassamento dei suoi privilegi organizzativi. Il problema è stato confermato alla revisione cbfee7343ddc867316dd9b3de6fa8856730f9f41; non è stata stabilita l'intera gamma storica interessata. È risolto dalla PR #3680, inclusa nella revisione 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, che è stata distribuita su clawhub.ai il 2026-09-11; le deploy self-hosted dovrebbero aggiornarsi a tale revisione o a un discendente successivo. La CLI npm e l'runtime OpenClaw sono prodotti separati e non sono interessati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.