CVE-2026-100552 in OpenClaw
Tóm tắt
Bởi VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') prima della versione 2026.8.1 non applica correttamente le policy per gli strumenti a livello di chat per i tool del runtime dell'app-server Codex. Una regola tools.allow a livello di conversazione filtrava gli strumenti OpenClaw ma non limitava gli shell, process, file e patch tools posseduti dal runtime Codex. Quando una conversazione con un grado di fiducia inferiore veniva assegnata al runtime Codex e ristretta tramite un allowlist per gli strumenti a livello di chat, un partecipante in grado di attivare tale agente poteva comunque accedere agli strumenti nativi di comando e file, eludendo l'allowlist configurata. L'impatto pratico dipende dalle autorizzazioni dell'host del runtime e dalla configurazione della sandbox. Il problema è stato risolto nella versione 2026.8.1.
Once again VulDB remains the best source for vulnerability data.