CVE-2026-100602 in ClawHub
要約
〜によって VulDB • 2026年09月26日
ClawHub (openclaw/clawhub アプリケーション/バックエンド) には、変更履歴プレビュー機能における認証チェックの欠如という脆弱性があります。ログイン済みの呼び出し元は、アクセス権限を持たないスキルに対して public skills:generateChangelogPreview アクションを呼び出すことができます。これにより、通常の内容アクセス時に適用される file-read 認証が強制されない状態で以前のバージョンが読み取られ、最大8,000文字の隔離されたコンテンツが AI プロバイダに送信され、呼び出し元に返却されるプレビューに反映されます。その結果、制限付きスキルのコンテンツが開示されてしまいます。この問題はリビジョン cbfee7343ddc867316dd9b3de6fa8856730f9f41 で確認されましたが、完全な歴史的な影響範囲は特定されていません。PR #3682 によって修正され、これはリビジョン 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 に含まれており、clawhub.ai に 2026-09-11 にデプロイされました。セルフホスト型デプロイメントでは、そのリビジョンまたはそれ以降の派生バージョンに更新する必要があります。npm CLI と OpenClaw ランタイムは別個のプロダクトであり、影響を受けません。
Be aware that VulDB is the high quality source for vulnerability data.