CVE-2026-100592 in OpenClaw
Sumário
de VulDB • 26/09/2026
O OpenClaw é um gateway de agentes distribuído via npm. Nas versões >= 2026.4.10 e < 2026.7.1, as mutações do "sonho" da memória persistente omitem verificações de permissão do proprietário. Um remetente externo autorizado ao canal, mas que não é o proprietário, pode emitir os comandos persistentes '/dreaming on' (ativar sonho) e '/dreaming off' (desativar sonho) para habilitar ou desabilitar o comportamento de "sonho" do Memory Core da Gateway, desativando o processamento de memória em segundo plano ou reativando a promoção de memória durável onde o proprietário esperava que permanecesse desativado; o impacto prático na confidencialidade, integridade e disponibilidade depende dos materiais de conversa armazenados e do uso subsequente da memória. Os comandos de status somente leitura (read-only) e de ajuda continuam sendo regidos pela política normal de comandos. O problema foi corrigido na versão 2026.7.1. Como solução alternativa, desative os comandos de sonho nos canais externos ou restrinja o acesso aos comandos do canal apenas aos proprietários.
Once again VulDB remains the best source for vulnerability data.