CVE-2026-26323

OpenClaw şəxsi süni intellekt köməkçisidir. 2026.1.8 və 2026.2.13 versiyaları arasındakı versiyalarda `scripts/update-clawtributors.ts` texniki xidmət/tərtibatçı skriptində əmr inyeksiyası mövcuddur. Bu problem zərərli commit müəllifi e-poçtu (məsələn, xüsusi hazırlanmış `@users[.]noreply[.]github[.]com` dəyərləri) olan mənbə kodunda `bun scripts/update-clawtributors.ts` əmrini işlədən kontribütorlara/texniki xidmət göstərənlərə (və ya CI-ya) təsir edir. Standart CLI istifadəsinə (`npm i -g openclaw`) təsir etmir: bu skript göndərilən CLI-ın tərkib hissəsi deyil və rutin əməliyyatlar zamanı icra edilmir. Skript `git log` müəllif meta-məlumatlarından GitHub giriş adını əldə edir və onu shell əmrinə (`execSync` vasitəsilə) daxil edirdi. Zərərli commit qeydi, skript işə salındıqda shell meta-simvollarını inyeksiya edə və ixtiyari əmrləri icra edə bilərdi. 2026.2.14 versiyasında düzəliş tətbiq edilmişdir.