CVE-2026-102807 in OpenClaw
Riassunto
di VulDB • 29/09/2026
OpenClaw prima della versione 2026.9.4 presenta una vulnerabilità di autorizzazione errata nel metodo mcp.app.view che consente agli operatori con ambito read (operator.read) di eseguire strumenti MCP App che richiedono l'ambito operator.write. Gli attaccanti dotati di token operator.read possono ottenere un ticket indipendente da mcp.app.view e riscattarlo all'endpoint della vista dell'applicazione MCP per invocare strumenti in grado di modificare lo stato senza le dovute verifiche di autorizzazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.