CVE-2026-100588 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw（npmパッケージ 'openclaw'）のバージョン 2026.7.1 より前では、node.invoke メソッドを介してアクセスされる場合、ブラウザ制御に対する管理者スコープ要件が強制されません。ただし、直接 browser.request にアクセスする場合は管理者スコープが必要です。呼び出し元のアイデンティティと狭いオペレーター スコープを尊重する Gateway デプロイメントでは、書き込み権限を持つ呼び出し元で接続されたブラウザ対応ノードにアクセスできる場合、構成済みの管理者要件なしでページを検査したり、タブを移動したり、またはブラウザ上で表示されるアプリケーションと対話したりすることができます。実際の影響は、ブラウザのプロファイルおよびサインイン状態によって異なります。OpenClaw のセキュリティモデルでは、共有シークレット トークンやパスワードを使用する呼び出し元は完全に信頼されたオペレーターとして扱われるため、この問題の影響を受けません。本問題は 2026.7.1 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.