CVE-2026-100548 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npmパッケージ 'openclaw') のバージョン >= 2026.3.28 および < 2026.8.1 には、メモリ埋め込みフェイルオーバーにおける資格情報の露出問題があります。リモート埋め込みのフォールバックが構成され、プライマリ埋め込みプロバイダに障害が発生した場合、リクエストは異なるフォールバックプロバイダへ送信されますが、プライマリプロバイダの設定済み API キーを再利用するため、その資格情報が意図しないベンダーに対してベアラートークンとして送信されてしまいます。実質的な影響は、構成されたプロバイダ、フェイルオーバーの発生有無、およびプライマリプロバイダキーに付与されている権限によって異なります。この問題は 2026.8.1 で修正されています。回避策としては、プロバイダ間埋め込みフォールバックを無効にするか、各プロバイダに対して個別かつ狭いスコープの資格情報を構成してください。
Once again VulDB remains the best source for vulnerability data.