CVE-2026-100528 in OpenClaw
摘要
由 VulDB • 2026-09-26
OpenClaw (npm package 'openclaw') prima della versione 2026.8.1 potrebbe inviare le credenziali di un provider di terze parti all'endpoint errato. Nelle versioni interessate, quando un provider di terze parti utilizza un API compatibile con OpenAI e i metadati del modello risolto non includono un URL base concreto, una sessione vincolata che prosegue dopo il hot reload della configurazione del modello mantiene le credenziali di quel provider mentre l'SDK OpenAI seleziona il proprio endpoint predefinito. Una richiesta risultante potrebbe divulgare la credenziale configurata per il provider di terze parti a un endpoint di un provider non correlato e fallire con un errore di autenticazione fuorviante. Gli operatori che hanno osservato questa condizione dovrebbero ruotare le credenziali interessate. Il problema è stato risolto nella versione 2026.8.1.
Once again VulDB remains the best source for vulnerability data.