CVE-2026-100588 in OpenClaw
Сводка
по VulDB • 26.09.2026
OpenClaw (пакет npm 'openclaw') до версии 2026.7.1 не требует наличия прав администратора для управления браузером при вызове через метод node.invoke, хотя прямой доступ к browser.request требует таких прав. В развертываниях Gateway, которые учитывают идентичность вызывающего субъекта и более узкие области видимости операторов, пользователь с правами на запись (write-scoped caller), имеющий доступ к подключенному узлу с поддержкой браузера, может просматривать страницы, переключать вкладки или взаимодействовать с приложениями, отображаемыми в браузере, без соблюдения настроенного требования административных прав; практическое влияние зависит от профиля браузера и состояния авторизации. Пользователи, использующие токен общего секрета (shared-secret token) или пароль, считаются полностью доверенными операторами согласно модели безопасности OpenClaw, и поэтому не затронуты проблемой. Проблема исправлена в версии 2026.7.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.