CVE-2026-100528 in OpenClaw
Сводка
по VulDB • 26.09.2026
OpenClaw (пакет npm 'openclaw') до версии 2026.8.1 мог отправлять учетные данные стороннего провайдера на неверный конечный пункт. В затронутых версиях, когда сторонний провайдер использует API, совместимый с OpenAI, и метаданные разрешенной модели не содержат конкретного базового URL-адреса, закрепленная сессия (pinned session), которая продолжается после горячей перезагрузки конфигурации модели, сохраняет учетные данные этого провайдера, в то время как SDK OpenAI выбирает свой собственный конечный пункт по умолчанию. В результате запрос может раскрыть настроенные учетные данные стороннего провайдера несвязанному конечному пункту другого провайдера и завершиться ошибкой с вводящим в заблуждение сообщением об аутентификации. Операторам, наблюдавшим это состояние, следует изменить (rotate) затронутые учетные данные. Проблема исправлена в версии 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.