CVE-2026-100579

2026.7.1 versiyasından əvvəlki OpenClaw (npm paketi 'openclaw'), message.action daxilində sorğu edənin mənşəyinə yanlış etibar edir. Kimlik təsdiqləyən Gateway tətbiqlərində (çağıranın kimliyini və daha dar operator sahələrini tanıyan autentifikasiya rejimləri), yazı səlahiyyətinə malik çağıran şəxs kanal avtorizasiyası yoxlamalarına başqa bir göndərənin identifikatorunu təqdim edə bilər və saxtalaşdırılmış sorğuçi kimliyi altında kanal hərəkətini çağıra bilər ki, bu da kanal adaptorunun real çağırana imkan verməyəcəyi əməliyyatlara giriş imkanı yaradır. Praktiki təsir aktiv edilmiş kanaldan, hərəkətdən və hədəf hesabın icazələrindən asılıdır. Paylaşılan gizli token və parol istifadə edən çağıranlar OpenClaw-un təhlükəsizlik modeli üzrə tam etibarlı operatorlardır və bu problemin əhatə dairəsinə daxil deyillər. Problem 2026.7.1 versiyasında düzəldilmişdir; müvəqqəti həll yolu kimi, message.action yalnız administratorlarla məhdudlaşdırılmalı və sorğuçinin kimliyindən asılı olan həssas kanal hərəkətləri deaktiv edilməlidir.