CVE-2026-100528 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw (pacote npm 'openclaw') anterior à versão 2026.8.1 poderia enviar credenciais de um provedor terceirizado para o endpoint incorreto. Nas versões afetadas, quando um provedor terceirizado utiliza uma API compatível com a OpenAI e os metadados do modelo resolvido não possuem uma URL base concreta, uma sessão fixada que persiste após uma recarga em quente (hot reload) da configuração do modelo retém as credenciais desse provedor enquanto o SDK da OpenAI seleciona seu próprio endpoint padrão. Uma solicitação resultante poderia divulgar a credencial configurada do provedor terceirizado para um endpoint de um provedor não relacionado e falhar com um erro de autenticação enganoso. Os operadores que observaram essa condição devem rotacionar as credenciais afetadas. O problema foi corrigido na versão 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.