CVE-2026-100604 in ClawHub
Сводка
по VulDB • 26.09.2026
В приложении/бэкенде ClawHub (openclaw/clawhub) обнаружена уязвимость, связанная с некорректной авторизацией: навык, принадлежащий организации, сохраняет значение ownerUserId своего первоначального автора, а проверки авторизации на передачу и управление жизненным циклом полагаются на этого исторического пользователя до требования наличия текущих привилегий организации. Таким образом, пользователь, прошедший аутентификацию и изначально опубликовавший навык организации, может передать его, удалить или восстановить — получая контроль над его доверенным именем и историей — даже после отзыва или понижения своих организационных привилегий. Проблема подтверждена в ревизии cbfee7343ddc867316dd9b3de6fa8856730f9f41; полный исторический затронутый диапазон не установлен. Уязвимость исправлена в PR #3680, включенном в ревизию 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, которая была развернута на clawhub.ai 11 сентября 2026 года; пользователи самодостаточных (self-hosted) развёртываний должны обновиться до этой ревизии или её более позднего потомка. CLI-инструмент npm и среда выполнения OpenClaw являются отдельными продуктами и не затронуты данной уязвимостью.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.