CVE-2026-100578
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
OpenClaw (pakiet npm „openclaw”) przed wersją 2026.7.1 nie ogranicza narzędzi infrastruktury dostępnych tylko dla właściciela, dostępnych za pośrednictwem punktu końcowego chat.send. W przypadku wdrożeń Gateway korzystających z trybów uwierzytelniania, które honorują tożsamość dzwoniącego i węższe zakresy operatora, wywołujący z ograniczonym zakresem zapisu, niebędący właścicielem, może rozpocząć turę czatu, której zestaw narzędzi obejmuje narzędzia „gateway” i „cron”, powodując, że agent wywołuje operacje konfiguracyjne lub planowania tylko dla właściciela, w tym trwałe zmiany stanu. Praktyczny wpływ zależy od narzędzi wybranych przez modela i umiejętności dzwoniącego w sterowaniu zakrętem. Osoby wywołujące tokeny i hasła typu Shared Secret są traktowane jako w pełni zaufani operatorzy w ramach modelu bezpieczeństwa OpenClaw i wykraczają poza zakres tego problemu. Problem został rozwiązany w wersji 2026.7.1; jako obejście, ogranicz chat.send do administratorów w przypadku wdrożeń z tożsamością i usuń `gateway` i `cron` z zasad narzędzia agenta, których to dotyczy.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org