CVE-2026-27485 in OpenClaw
Riassunto
di VulDB • 22/06/2026
OpenClaw è un assistente personale basato sull'intelligenza artificiale. Nelle versioni 2026.2.17 e precedenti, lo script locale helper skills/skill-creator/scripts/package_skill.py (utilizzato dagli autori durante il packaging delle skill) seguiva precedentemente i symlink durante la creazione degli archivi .skill. Se un autore esegue questo script su una directory di skill locale costruita ad hoc contenente symlink verso file esterni alla radice della skill, l'archivio risultante può includere contenuti di file non previsti. Sfruttando questa vulnerabilità, si potrebbe verificare una potenziale divulgazione involontaria di file locali dalla macchina di packaging all'interno dell'artefatto .skill generato; tuttavia, ciò richiede l'esecuzione locale dello script di packaging su contenuti di skill controllati dall'attaccante. Questo problema è stato risolto nella versione 2026.2.18.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.