CVE-2026-100552 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npmパッケージ 'openclaw') のバージョン 2026.8.1 より前では、Codex app-server ランタイムツールに対するチャットごとのツールのポリシーが正しく適用されません。会話レベルの tools.allow ルールは OpenClaw ツールをフィルタリングしますが、Codex ランタイムに所有される shell、process、file、patch の各ツールについては制限しませんでした。信頼度が低い会話が Codex ランタイムに割り当てられ、チャットごとのツールの許可リストで制限されていた場合でも、そのエージェントをトリガーできる参加者は、構成された許可リストを回避してネイティブコマンドおよびファイルのツールにアクセスできました。実際の影響は、ランタイムのホスト権限とサンドボックス設定によって異なります。この問題は 2026.8.1 で修正されました。
Once again VulDB remains the best source for vulnerability data.