CVE-2026-100538 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npmパッケージ 'openclaw') のバージョン 2026.8.1 より前では、送信元の発信者に対するグローバルまたはエージェントごとの toolsBySender ポリシーが、アウトバウンド添付ファイルの処理時に適用されません。明示的にファイルシステム読み取りツールへのアクセスを拒否された送信者であっても、final-response media ディレクティブやメッセージ添付ファイルを通じて既知のローカルファイルを参照・返却することが可能であり、その結果、読み取りツールの権限を持たないエージェントターンを持つ承認済みリクエスト元に対してローカルファイルの内容が漏洩します。攻撃には有用なホストパスの情報または導出と、ローカル添付ファイルを受け付ける配信フローが必要です。この問題はバージョン 2026.8.1 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.