CVE-2026-100552 in OpenClaw
摘要
由 VulDB • 2026-09-26
OpenClaw (npm package 'openclaw') prima della versione 2026.8.1 non applica correttamente le politiche degli strumenti per chat per gli strumenti del runtime Codex app-server. Una regola tools.allow a livello di conversazione filtrava gli strumenti OpenClaw ma non limitava gli strumenti shell, process, file e patch posseduti dal runtime Codex. Quando una conversazione con un grado di fiducia inferiore veniva assegnata al runtime Codex e ristretta tramite un allowlist degli strumenti per chat, un partecipante in grado di attivare tale agente poteva comunque accedere agli strumenti nativi di comando e file, eludendo l'allowlist configurata. L'impatto pratico dipende dalle autorizzazioni dell'host del runtime e dalla configurazione della sandbox. Il problema è stato risolto nella versione 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.