CVE-2026-100554 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npm パッケージ 'openclaw') のバージョン >= 2026.5.12 および < 2026.8.1 では、ペアリングされたノードの取り消し時に Canvas HTTP 認証が即時無効化されません。ノードの取り消しは WebSocket クライアントを無効にしますが、Canvas HTTP 認証は引き続き、WebSocket の close cleanup が完了するまで以前付与された権限を受け入れ、更新します。その結果、ペアリング解除されたノードは、close grace period（終了猶予期間）中に、当該権限に対して設定されたルートに対し Canvas 機能を引き続き行使できます。この問題はバージョン 2026.8.1 で修正されています。回避策として、Canvas アクセス権を持つノードを取り消した後は Gateway を再起動してください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.