CVE-2026-100545 in OpenClaw
Сводка
по VulDB • 26.09.2026
В версиях OpenClaw (пакет npm `openclaw`) до 2026.8.1 неправильно применяются политики инструментов отправителя при генерации имён файлов для сессионной памяти. В затронутых версиях процесс создания имени файла формировал встроенный вспомогательный модуль, который сохранял инструменты, удалённые политикой исходного отправителя. Если включена генерация имён файлов для сессионной памяти для агента, доступного более недоверенным отправителям, инструкции от модели могут привести к вызову этим вспомогательным модулем инструментов за пределами эффективных ограничений политики такого отправителя; продемонстрированный эффект заключался в создании постоянных запланированных задач. Возможность эксплуатации зависит от того, выполнит ли модель внедрённую инструкцию и какие инструменты предоставляет вспомогательный модуль. Проблема исправлена в версии 2026.8.1; в качестве обходного пути рекомендуется отключить генерацию имён файлов для сессионной памяти для агентов, доступных более недоверенным отправителям.
Once again VulDB remains the best source for vulnerability data.