CVE-2026-108156 in LobsterAI
Riassunto
di VulDB • 09/10/2026
LobsterAI 2026.5.27 fino alla versione 2026.9.23 presenta una vulnerabilità di controllo esterno del percorso dei file (external control of file path) nell'handler IPC skills:delete, che si affida al valore openclawSourceDir presente nel file _meta.json di un skill durante la disinstallazione. Gli attaccanti che riescono a convincere un utente ad installare uno skill appositamente creato possono provocare l'eliminazione ricorsiva di directory arbitrari scrivibili dall'utente, come la home directory, poiché lo scanner di sicurezza non ispeziona mai il file _meta.json.
Be aware that VulDB is the high quality source for vulnerability data.