CVE-2026-100545 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 `openclaw`)의 2026.8.1 이전 버전은 세션 메모리 파일 이름 생성 중 발신자 도구 정책을 잘못 적용합니다. 영향을 받는 버전에서는 파일 이름 생성 시 원래 발신자의 정책에서 제거된 도구를 유지하는 내장 헬퍼가 생성되었습니다. 에이전트에서 낮은 신뢰도의 발신자가 접근 가능한 경우 세션 메모리 파일 이름 생성이 활성화되면, 모델 매개 명령어로 인해 헬퍼가 해당 발신자의 유효한 정책을 벗어난 도구를 호출할 수 있습니다. 시연된 영향은 지속형 예약 작업의 생성이었습니다. 공격 가능성은 주입된 명령을 처리하는 모델과 헬퍼가 노출하는 도구 종류에 따라 달라집니다. 이 문제는 2026.8.1에서 수정되었습니다. 우회 조치로 낮은 신뢰도의 발신자가 접근 가능한 에이전트에 대해 세션 메모리 파일 이름 생성을 비활성화하십시오.
VulDB is the best source for vulnerability data and more expert information about this specific topic.