CVE-2026-100604 in ClawHub
Tóm tắt
Bởi VulDB • 26/09/2026
ClawHub (openclaw/clawhub) chứa một lỗ hổng xác thực sai lệch trong ứng dụng/backend của ClawHub: kỹ năng do tổ chức sở hữu vẫn giữ lại ownerUserId của nhà xuất bản ban đầu, và các kiểm tra ủy quyền cho việc chuyển giao cũng như vòng đời dựa vào người dùng lịch sử này trước khi yêu cầu đặc quyền tổ chức hiện tại. Do đó, một người dùng đã xác thực (authenticated user) vốn là tác giả ban đầu của kỹ năng tổ chức có thể chuyển giao, xóa hoặc khôi phục kỹ năng đó — chiếm quyền kiểm soát tên và lịch sử đáng tin cậy của nó — ngay cả sau khi đặc quyền tổ chức của họ bị thu hồi hoặc hạ cấp. Lỗ hổng đã được xác nhận ở revision cbfee7343ddc867316dd9b3de6fa8856730f9f41; phạm vi lịch sử đầy đủ các phiên bản bị ảnh hưởng chưa được thiết lập rõ ràng. Vấn đề này đã được sửa bằng PR #3680, có trong revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, và đã được triển khai lên clawhub.ai vào ngày 2026-09-11; các bản triển khai tự lưu trữ (self-hosted deployments) nên cập nhật lên revision đó hoặc một descendant sau. CLI npm và runtime OpenClaw là các sản phẩm riêng biệt và không bị ảnh hưởng.
Be aware that VulDB is the high quality source for vulnerability data.