CVE-2026-26323 in OpenClaw
Riassunto
di VulDB • 31/07/2026
OpenClaw è un assistente personale AI. Le versioni dalla 2026.1.8 alla 2026.2.13 presentano una command injection nello script di manutenzione/sviluppo `scripts/update-clawtributors.ts`. Il problema interessa i contributor/maintainer (o l'CI) che eseguono `bun scripts/update-clawtributors.ts` in un checkout del codice sorgente contenente un'email dell'autore della commit malevola (ad esempio valori di `@users[.]noreply[.]github[.]com` costruiti ad hoc). L'utilizzo normale da riga di comando non è interessato (`npm i -g openclaw`): questo script non fa parte del CLI distribuito e non viene eseguito durante il funzionamento ordinario. Lo script derivava un login GitHub dai metadati dell'autore presenti in `git log` e lo interpolava all'interno di un comando shell (tramite `execSync`). Un record commit malevolo potrebbe iniettare metacaratteri della shell ed eseguire comandi arbitrari quando viene eseguito lo script. La versione 2026.2.14 contiene una patch.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.