CVE-2026-100592 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClawはnpmを通じて配布されるエージェントゲートウェイです。バージョン >= 2026.4.10 および < 2026.7.1 では、永続メモリ dreaming の変異において所有者権限チェックが省略されています。認証済みだが所有者ではない外部チャネル送信者は、「/dreaming on」および「/dreaming off」といった永続的なコマンドを発行してゲートウェイの Memory Core dreaming 動作を有効化または無効化でき、これによりバックグラウンドでのメモリ処理が無効になったり、所有者が disabled のままになることを期待していた箇所で永続的なメモリプロモーションが再有効化されたりします。実際の機密性、完全性及び可用性への影響は、保存された会話資料とその後のメモリの使用状況に依存します。読み取り専用ステータスおよびヘルプコマンドは通常のポリシーに従って管理されます。この問題はバージョン 2026.7.1 で修正されています。回避策として、外部チャネルでの dreaming コマンドを無効にするか、チャネルのコマンドアクセス権限を所有者のみに制限してください。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.