CVE-2026-100535 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw (pacote npm 'openclaw') nas versões >= 2026.4.5 e < 2026.8.1 pode perder as restrições do solicitante original e a proveniência não confiável quando o texto derivado da sessão é persistido na memória de sessão. Em implantações onde a captura de memória de sessão e o "sonho" (dreaming) estão habilitados, um remetente externo restrito cujas mensagens são admitidas com ferramentas limitadas pode persistir instruções que posteriormente são fornecidas a um agente em segundo plano não supervisionado ("sonhando") que possui capacidades mais amplas de arquivos e comandos, permitindo ações além da autoridade do turno original e afetando arquivos, comandos ou serviços disponíveis para esse agente. A exploração requer que o conteúdo seja capturado, selecionado para processamento posterior e seguido pelo modelo. O problema é corrigido na versão 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.