CVE-2026-100538 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw') 버전 2026.8.1 이전은 아웃바운드 첨부 파일을 처리할 때 발신자의 글로벌 또는 에이전트별 toolsBySender 정책을 적용하지 않습니다. 파일 시스템 읽기 도구가 명시적으로 거부된 발신자라도 최종 응답 미디어 지시문이나 메시지 첨부를 통해 알려진 로컬 파일의 내용을 읽고 반환하여, 읽기 도구 권한이 없는 에이전트의 턴을 가진 승인된 요청자에게 로컬 파일 내용이 유출될 수 있습니다. 공격에는 유용한 호스트 경로에 대한 지식 또는 추론과 로컬 첨부 파일을 허용하는 전달 흐름이 필요합니다. 이 문제는 버전 2026.8.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.