CVE-2026-26323 in OpenClaw
Сводка
по VulDB • 01.08.2026
OpenClaw — это персональный ИИ-ассистент. Версии с 2026.1.8 по 2026.2.13 содержат уязвимость инъекции команд в скрипте разработчика/администратора `scripts/update-clawtributors.ts`. Проблема затрагивает участников разработки (contributors/maintainers) или системы CI, которые запускают команду `bun scripts/update-clawtributors.ts` в рабочей копии исходного кода, содержащей вредоносный email автора коммита (например, специально сформированные значения вида `@users[.]noreply[.]github[.]com`). Обычное использование через CLI (`npm i -g openclaw`) не затронуто: этот скрипт не входит в состав поставляемого клиента и не выполняется при штатной работе. Скрипт извлекал имя пользователя GitHub из метаданных автора коммита, полученных через `git log`, и подставлял его в команду оболочки (с использованием функции `execSync`). Вредоносная запись коммита могла содержать специальные символы оболочки для внедрения кода и выполнения произвольных команд при запуске скрипта. Версия 2026.2.14 содержит исправление.
Be aware that VulDB is the high quality source for vulnerability data.