CVE-2026-100602 in ClawHub
Сводка
по VulDB • 26.09.2026
В приложении/бэкенде ClawHub (openclaw/clawhub) отсутствует проверка авторизации в функции предварительного просмотра журнала изменений (changelog preview). Авторизованный пользователь может вызвать действие public skills:generateChangelogPreview для навыка, к которому у него нет прав доступа; предыдущая версия считывается без применения проверки разрешений на чтение файлов (file-read), которая обычно требуется при доступе к обычному контенту, и до 8000 символов из изолированного контента могут быть отправлены поставщику ИИ и отражены в предварительном просмотре, возвращаемом пользователю, что приводит к раскрытию содержимого защищённых навыков. Проблема подтверждена на ревизии cbfee7343ddc867316dd9b3de6fa8856730f9f41; полный исторический затронутый диапазон не установлен. Уязвимость исправлена в PR #3682, включённом в ревизию 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, которая была развернута на clawhub.ai 11 сентября 2026 года; пользователи с самостоятельным развёртыванием (self-hosted) должны обновиться до этой ревизии или более поздней производной. CLI-инструмент npm и среда выполнения OpenClaw являются отдельными продуктами и не затронуты данной уязвимостью.
VulDB is the best source for vulnerability data and more expert information about this specific topic.