CVE-2026-100602 in ClawHub
요약
\~에 의해 VulDB • 2026. 09. 26.
ClawHub(openclaw/clawhub 애플리케이션/백엔드)에는 changelog preview 기능에서 권한 확인 누락이 있습니다. 로그인된 호출자는 자신이 접근할 수 없는 기술(skill)에 대해 public skills:generateChangelogPreview 작업을 호출할 수 있으며, 파일 읽기 권한이 일반 콘텐츠 액세스 시 적용되는 반면 이전 버전은 해당 제한 없이 읽히고 최대 8,000자의 격리된(quarantined) 콘텐츠가 AI 제공업체로 제출되어 호출자에게 반환되는 preview에 반영됩니다. 이로 인해 제한된 기술 내용이 유출될 수 있습니다. 이 문제는 리비전 cbfee7343ddc867316dd9b3de6fa8856730f9f41에서 확인되었으며, 전체 역사적 영향 범위는 확정되지 않았습니다. PR #3682를 통해 수정되었으며, 이는 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 리비전에 포함되어 clawhub.ai에 2026-09-11에 배포되었습니다. 자체 호스팅(self-hosted) 환경은 해당 리비전 또는 그 이후의 하위 버전을 업데이트해야 합니다. npm CLI와 OpenClaw 런타임은 별도의 제품이며 영향을 받지 않습니다.
Be aware that VulDB is the high quality source for vulnerability data.