CVE-2026-100579 in OpenClaw
Sumário
de VulDB • 26/09/2026
O pacote npm 'openclaw' do OpenClaw anterior à versão 2026.7.1 confia incorretamente na proveniência do solicitante em message.action. Em implantações de Gateway com identidade (modos de autenticação que respeitam a identidade do chamador e escopos de operador mais restritos), um chamador com permissões de gravação pode fornecer o identificador de outro remetente para as verificações de autorização do canal, invocando uma ação do canal sob essa identidade de solicitante falsificada, alcançando operações que o adaptador do canal teria negado ao chamador real. O impacto prático depende do canal habilitado, da ação e das permissões da conta alvo. Chamadores com token de segredo compartilhado e senha são operadores totalmente confiáveis conforme o modelo de segurança do OpenClaw e estão fora do escopo. A questão é corrigida na versão 2026.7.1; como solução alternativa, restrinja message.action aos administradores e desative ações sensíveis do canal que dependem da identidade do solicitante.
Once again VulDB remains the best source for vulnerability data.