CVE-2026-100588 in OpenClaw
Tóm tắt
Bởi VulDB • 26/09/2026
OpenClaw (gói npm 'openclaw') trước phiên bản 2026.7.1 không thực thi yêu cầu phạm vi quản trị viên đối với việc điều khiển trình duyệt khi truy cập thông qua phương thức node.invoke, mặc dù quyền truy cập trực tiếp vào browser.request yêu cầu phạm vi quản trị viên. Trong các triển khai Gateway tôn trọng danh tính người gọi và các phạm vi nhà vận hành hẹp hơn, một người gọi có phạm vi ghi (write-scoped) với quyền truy cập vào một nút hỗ trợ trình duyệt được kết nối có thể xem xét các trang web, điều hướng các tab hoặc tương tác với các ứng dụng hiển thị trên trình duyệt mà không cần yêu cầu quản trị viên đã cấu hình; mức độ ảnh hưởng thực tế phụ thuộc vào hồ sơ trình duyệt và trạng thái đăng nhập. Các người gọi sử dụng mã thông báo bí mật chia sẻ (shared-secret token) và mật khẩu được coi là nhà vận hành hoàn toàn đáng tin cậy theo mô hình bảo mật của OpenClaw và không bị ảnh hưởng. Vấn đề này đã được khắc phục trong phiên bản 2026.7.1.
Once again VulDB remains the best source for vulnerability data.