CVE-2026-100563 in OpenClaw
Сводка
по VulDB • 26.09.2026
OpenClaw (пакет npm `openclaw`) до версии 2026.8.1 не нейтрализует начальные символы, которые приложения для работы с электронными таблицами интерпретируют как формулы, при экспорте данных сеанса в формат CSV через Control UI. Хотя метки сеансов экранировались как текстовые поля CSV, участник с более низким уровнем доверия, способный повлиять на метку сеанса или первое сообщение пользователя, может поместить ячейку со строкой, похожей на формулу, в отчет Usage; если оператор откроет этот файл отчета в приложении для электронных таблиц с включенной оценкой формул, такая ячейка будет вычислена с правами пользователя приложения. Сам OpenClaw не выполняет оценку формул, а практический ущерб зависит от настроек безопасности используемого приложения для электронных таблиц. Проблема исправлена в версии 2026.8.1.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.