CVE-2026-100561 in OpenClaw
Сводка
по VulDB • 26.09.2026
В версиях пакета npm OpenClaw ('openclaw') >= 2026.3.22 и < 2026.8.1 присутствует уязвимость обхода проверки одобрения в политике exec approval policy: политика могла доверять оболочке, запускающей команду, не проверяя саму команду, переданную через аргументы. После того как оператор добавил вызов безобидной оболочки в белый список или навсегда одобрил его, последующий запуск агента мог подставить произвольную внутреннюю команду и выполнить её с привилегиями хоста процесса OpenClaw без дополнительного запроса на одобрение. Для эксплуатации необходимо, чтобы соответствующая оболочка была доступна на хосте, а также наличие предыдущего решения оператора о разрешении использования этой оболочки. Затронуты прозрачные носители командной оболочки и непрозрачные утилиты, такие как мониторы процессов, трассировщики, инструменты управления пространствами имен (namespace tools) и прокси-оболочки, из-за связанных пробелов в проверке доверия. Исправлено в версии 2026.8.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.