CVE-2026-100604 in ClawHub
要約
〜によって VulDB • 2026年09月26日
ClawHub (openclaw/clawhub)には、ClawHubアプリケーション/バックエンドにおける不適切な認可（incorrect authorization）の脆弱性が存在します。組織が所有するスキルは、その元の公開者のownerUserIdを保持しており、移行およびライフサイクルに関する認可チェックでは、現在の組織権限を確認する前にこの歴史的ユーザーを信頼しています。そのため、認証済みユーザで元々ある組織スキルの公開者だった場合、組織権限を取り消または格下げされた後でも、そのスキルの信頼される名前と履歴の制御を取得するために、移行、削除、または復元を行うことができます。本問題はリビジョン cbfee7343ddc867316dd9b3de6fa8856730f9f41 で確認されましたが、完全な歴史的な影響範囲は特定されていません。PR #3680 によって修正されており、これはリビジョン 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 に含まれ、clawhub.ai に 2026-09-11 にデプロイされました。セルフホスト型展開では、そのリビジョンまたはそれ以降の派生版に更新する必要があります。npm CLI および OpenClaw ランタイムは別個のプロダクトであり、影響を受けません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.