CVE-2026-100528 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npmパッケージ 'openclaw') のバージョン 2026.8.1 より前では、サードパーティプロバイダの認証情報を誤ったエンドポイントに送信する可能性があります。影響を受けるバージョンでは、サードパーティプロバイダが OpenAI互換APIを使用し、解決されたモデルメタデータに具体的なベースURLが含まれていない場合、モデル設定のホットリロード後も維持される固定セッションは、そのプロバイダの認証情報を保持したままになり、OpenAI SDK が独自のデフォルトエンドポイントを選択します。これにより、構成済みのサードパーティプロバイダの認証情報が無関係なプロバイダのエンドポイントに漏洩し、誤解を招く認証エラーで失敗する可能性があります。この状態を観察した運用者は、影響を受ける認証情報をローテーション（更新）する必要があります。本問題は 2026.8.1 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.