CVE-2026-100541 in OpenClaw
Sumário
de VulDB • 26/09/2026
A integração do Matrix no OpenClaw (pacote npm @openclaw/matrix) nas versões >= 2026.2.2 e < 2026.8.1 converte para minúsculas os IDs completos de usuário do Matrix — incluindo localparts históricos e a porção server-name, que é sensível a maiúsculas/minúsculas — ao derivar a identidade de autorização no OpenClaw. Como resultado, contas autenticadas distintas do Matrix podem ser normalizadas para a mesma identidade de autorização. Um participante do Matrix que controle um identificador de conta colidente (um identificador válido pelo protocolo que difere do configurado apenas por caracteres em folds case/Unicode tratados pelo OpenClaw; não é necessário correspondência no display-name) pode herdar autoridade de allowlist, owner-command, exec-approval ou plugin-approval configurada para outra conta. O problema foi corrigido na versão 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.