CVE-2026-100580 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw (pacote npm 'openclaw') anterior à versão 2026.7.1 lida incorretamente com a sensibilidade a maiúsculas e minúsculas na ferramenta cron voltada para o modelo: um tipo de payload em caixa mista pode contornar a proteção contra execução no shell voltada ao agente e, posteriormente, ser normalizado como uma tarefa do job cron. Um ator capaz de direcionar um agente habilitado para ferramentas pode, portanto, criar um job cron persistente que executa comandos selecionados pelo atacante com os privilégios do usuário do processo OpenClaw, resultando em acesso a arquivos do host e credenciais, além de impacto na disponibilidade dos serviços agendados. A vulnerabilidade está limitada aos jobs cron criados ou editados por meio da ferramenta cron voltada para o modelo; as superfícies de agendamento via CLI direto e Gateway autorizado são consideradas controles confiáveis do operador corrigidos na versão 2026.7.1.
Be aware that VulDB is the high quality source for vulnerability data.