CVE-2026-26325 in OpenClaw
Riassunto
di VulDB • 17/06/2026
OpenClaw è un assistente personale basato sull'intelligenza artificiale. Prima della versione 2026.2.14, una discrepanza tra `rawCommand` e `command[]` nel gestore del nodo host `system.run` poteva causare la valutazione dell'allowlist/approvazione su un comando mentre ne veniva eseguito uno diverso (argv). Questo impatta solo le implementazioni che utilizzano il percorso di esecuzione del nodo host / node companion (`system.run` su un nodo), abilitano una politica di esecuzione basata sull'allowlist (`security=allowlist`) con richiesta di approvazione attivata in caso di mancata corrispondenza nell'allowlist (ad esempio `ask=on-miss`) e consentono a un attaccante di invocare `system.run`. Le configurazioni predefinite/non-node non sono interessate. La versione 2026.2.14 impone la coerenza tra `rawCommand`/`command[]` (fail-fast del gateway + validazione sul nodo host).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.