CVE-2026-100537 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw（npmパッケージ 'openclaw'）のバージョン 2026.8.1 より前では、Active Memory の自動リコール時に発信元要求者の有効なツールポリシーが適用されません。Active Memory と要求者固有のルールを使用するデプロイメント環境では、決定論的かつ隠蔽されたリコールパスにより、memory_search や memory_get などのメモリツールへのアクセスを明示的に拒否している要求者であっても、永続化されたメモリを取得してエージェントのコンテキストに注入することができます。その結果、承認済みだがアクセスが拒否されている送信者は、直接メモリツールを呼び出すことなく、エージェントのレスポンス内で永続化されたメモリ由来の情報を受信する可能性があります。この問題は 2026.8.1 で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.