CVE-2026-100545 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw (pacote npm `openclaw`) anterior à versão 2026.8.1 aplica incorretamente as políticas de ferramentas do remetente durante a geração de nomes de arquivos da memória da sessão. Nas versões afetadas, a geração de nomes de arquivos criava um auxiliar embutido que mantinha ferramentas removidas pela política do remetente original. Quando a geração de nomes de arquivos da memória da sessão estava habilitada para um agente acessível por remetentes de menor confiança, instruções mediadas pelo modelo poderiam fazer com que o auxiliar invocasse ferramentas fora da política efetiva desse remetente; o impacto demonstrado foi a criação de trabalho agendado persistente. A explorabilidade depende do modelo agir sobre a instrução injetada e das ferramentas expostas pelo auxiliar. O problema é corrigido na versão 2026.8.1; como medida alternativa, desative a geração de nomes de arquivos da memória da sessão para agentes acessíveis por remetentes de menor confiança.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.