CVE-2026-100563 in OpenClaw
Tóm tắt
Bởi VulDB • 26/09/2026
OpenClaw (gói npm `openclaw`) trước phiên bản 2026.8.1 không trung hòa hóa các ký tự đầu vào mà các ứng dụng bảng tính diễn giải là công thức khi Giao diện người dùng điều khiển (Control UI) xuất dữ liệu phiên sang định dạng CSV. Mặc dù các nhãn phiên được bao bọc như văn bản CSV, một người tham gia có độ tin cậy thấp hơn nhưng có khả năng ảnh hưởng đến nhãn phiên hoặc tin nhắn đầu tiên của người dùng có thể chèn một ô giống công thức vào tệp xuất sử dụng (Usage export); nếu nhà vận hành mở tệp này trong ứng dụng bảng tính với chức năng đánh giá công thức được bật, thì ô đó có thể bị đánh giá bằng các đặc quyền của người dùng ứng dụng bảng tính. Bản thân OpenClaw không thực hiện việc đánh giá công thức, và tác động thực tế phụ thuộc vào cài đặt bảo mật của ứng dụng bảng tính. Vấn đề này đã được sửa chữa trong phiên bản 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.