CVE-2026-100588 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw') 버전 2026.7.1 이전은 node.invoke 메서드를 통해 접근할 때 브라우저 제어에 대한 관리자 범위(administrator scope) 요구사항을 강제하지 않습니다. 반면, 직접적인 browser.request 액세스는 관리자 범위를 필요로 합니다. 호출자 신원(caller identity)과 더 좁은 운영자 범위(operator scopes)를 존중하는 Gateway 배포 환경에서, 연결된 브라우저를 지원하는 노드에 접근 권한이 있는 쓰기(write-scoped) 호출자는 구성된 관리자(administrator) 요구사항 없이도 페이지를 검사하거나 탭을 탐색하며 브라우저로 표시되는 애플리케이션과 상호작용할 수 있습니다. 실제 영향도는 브라우저 프로필 및 로그인 상태에 따라 달라집니다. Shared-secret token 및 password 기반 호출자는 OpenClaw의 보안 모델에서 완전히 신뢰된 운영자로 간주되므로 영향을 받지 않습니다. 이 문제는 2026.7.1에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.