CVE-2026-100539 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw') 버전 2026.8.1 이전은 운영자가 메모리 구성을 핫 디스이블(hot-disable)할 때 메모리 도구 접근 권한을 철회하지 않습니다. 기존 memory_search 및 memory_get 도구 인스턴스는 생성 시점에 캡처된 활성화된 구성이 유지되는데, 이는 실행 시간 리졸버가 명시적인 비활성화를 사용 불가능한 구성 스냅샷으로 간주하고 이전의 권한(stale authority)을 복원하기 때문입니다. 그 결과, 이미 실행 중인 에이전트의 턴 동안 운영자가 해당 접근 권한을 철회한 후에도 모델은 해당 런(run)이 끝날 때까지 지속 가능한 메모리를 계속 검색하고 읽을 수 있습니다. 악용(exploitation)에는 이전에 생성된 메모리 도구가 활성화된 상태에서 메모리가 비활성화되어야 합니다. 이 문제는 2026.8.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.