CVE-2026-100552 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw (pacote npm 'openclaw') anterior à versão 2026.8.1 não aplica corretamente as políticas de ferramentas por chat para as ferramentas do runtime Codex app-server. Uma regra tools.allow em nível de conversa filtrava as ferramentas do OpenClaw, mas não restringia as ferramentas shell, process, file e patch pertencentes ao runtime Codex. Quando uma conversa com menor confiança era atribuída a um runtime Codex e restrita por meio de uma lista permitida (allowlist) de ferramentas por chat, um participante capaz de acionar esse agente ainda poderia acessar as ferramentas nativas de comando e arquivo, contornando a allowlist configurada. O impacto prático depende das permissões do host do runtime e da configuração do sandbox. A questão foi corrigida na versão 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.