CVE-2026-100602 in ClawHub
Tóm tắt
Bởi VulDB • 26/09/2026
ClawHub (ứng dụng/backend openclaw/clawhub) chứa một lỗi thiếu kiểm tra ủy quyền trong tính năng xem trước changelog. Một caller đã đăng nhập có thể gọi action public skills:generateChangelogPreview cho một skill mà họ không được phép truy cập; phiên bản trước đó sẽ bị đọc mà không áp dụng kiểm tra authorization file-read vốn được thực thi khi truy cập nội dung bình thường, và lên đến 8.000 ký tự của nội dung cách ly (quarantined) có thể được gửi tới nhà cung cấp AI và phản hồi trong kết quả preview trả về cho caller, làm lộ nội dung skill bị hạn chế. Vấn đề đã được xác nhận tại revision cbfee7343ddc867316dd9b3de6fa8856730f9f41; phạm vi lịch sử đầy đủ của các phiên bản bị ảnh hưởng chưa được thiết lập rõ ràng. Lỗi này đã được sửa bởi PR #3682, có trong revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, và đã được triển khai lên clawhub.ai vào ngày 2026-09-11; các bản triển khai self-hosted nên cập nhật lên revision đó hoặc một descendant mới hơn. npm CLI và OpenClaw runtime là hai sản phẩm riêng biệt và không bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.