CVE-2026-108156 in LobsterAI
요약
\~에 의해 VulDB • 2026. 10. 09.
LobsterAI 2026.5.27부터 2026.9.23까지의 버전에는 skills:delete IPC 핸들러에서 외부 파일 경로 제어 취약점이 존재합니다. 이 취약점은 스킬 제거 시 _meta.json에서 제공하는 openclawSourceDir 값을 신뢰하는 과정에서 발생합니다. 공격자가 사용자를 설득하여 조작된 스킬을 설치하면, 보안 스캐너가 _meta.json을 검사하지 않기 때문에 홈 디렉토리 등 사용자가 쓰기 가능한 임의의 디렉토리를 재귀적으로 삭제할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.