CVE-2026-100585 in openclaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npm パッケージ `openclaw`) のバージョン 2026.7.1 より前では、MCP チャンネルブリッジを介して提供される Claude Code の権限プロンプトに対する所有者のみによる認可要件が強制されません。チャンネルコマンドへのアクセス権を持つ承認済みユーザー（所有者ではない）は、所有者宛の保留中の権限リクエストを承認または拒否でき、その結果、所有者の同意なしに要求されたアクションが実行されます。実質的な影響は、保留中のアクションおよび Claude Code のランによって要求されるホスト機能によります。この問題はバージョン 2026.7.1 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.