CVE-2026-100602 in ClawHub
Sumário
de VulDB • 26/09/2026
O ClawHub (aplicação/backend openclaw/clawhub) apresenta uma falha de verificação de autorização ausente no recurso de visualização do changelog. Um usuário autenticado pode invocar a ação pública skills:generateChangelogPreview para um skill ao qual não tem acesso autorizado; a versão anterior é lida sem que a autorização file-read seja aplicada, como ocorre no acesso normal ao conteúdo, e até 8.000 caracteres de conteúdo em quarentena podem ser enviados ao provedor de IA e refletidos na visualização retornada ao usuário, revelando o conteúdo restrito do skill. O problema foi confirmado na revisão cbfee7343ddc867316dd9b3de6fa8856730f9f41; a faixa histórica completa de versões afetadas não foi estabelecida. A correção está incluída no PR #3682, presente na revisão 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, que foi implantada em clawhub.ai em 11/09/2026; implantações self-hosted devem atualizar para essa revisão ou uma descendente posterior. A CLI do npm e o runtime OpenClaw são produtos separados e não estão afetados.
Be aware that VulDB is the high quality source for vulnerability data.