CVE-2026-100537 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw') 버전 2026.8.1 이전은 Active Memory 자동 회수 과정에서 원본 요청자의 유효한 도구 정책을 적용하지 않습니다. Active Memory와 요청자별 도구 규칙을 함께 사용하는 배포 환경에서는 결정론적이고 숨겨진 회수 경로가 영구 메모리를 검색하여 에이전트의 컨텍스트에 주입할 수 있으며, 이는 toolsBySender에서 해당 요청자가 memory_search 및 memory_get과 같은 메모리 도구에 대한 접근을 명시적으로 거부하는 경우에도 발생합니다. 그 결과, 승인되었지만 권한이 없는 발신자는 직접적인 메모리 도구 호출 없이도 에이전트 응답에서 영구 메모지에서 파생된 정보를 수신할 수 있습니다. 이 문제는 2026.8.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.