CVE-2026-100554 in OpenClaw
Сводка
по VulDB • 26.09.2026
В версиях OpenClaw (пакет npm 'openclaw') >= 2026.5.12 и < 2026.8.1 не происходит немедленная инвалидация HTTP-авторизации Canvas при отзыве права для связанного узла. Отзыв прав узла приводит к инвалидации WebSocket-клиента, однако HTTP-авторизация Canvas продолжает принимать и продлевать ранее выданное разрешение до завершения очистки после закрытия WebSocket. В результате отозванный связанный узел может продолжать использовать свои возможности Canvas в отношении настроенных маршрутов этого разрешения в течение периода ожидания (grace period) при закрытии соединения. Проблема исправлена в версии 2026.8.1; в качестве временного решения рекомендуется перезапустить Gateway после отзыва прав для узла, имеющего доступ к Canvas.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.