CVE-2026-100545

2026.8.1 sürümünden önceki OpenClaw (npm paketi `openclaw`), oturum belleği dosya adı oluşturma sırasında gönderici araç politikalarını hatalı bir şekilde uygular. Etkilenen sürümlerde, dosya adı oluşturma işlemi, orijinal göndericinin politikasının kaldırdığı araçları tutan gömülü bir yardımcı oluşturuyordu. Düşük güvenilirliğe sahip göndericiler tarafından erişilebilen bir ajan için oturum belleği dosya adı oluşturma etkinleştirildiğinde, model aracılı talimatlar yardımcının söz konusu göndericinin geçerli politikası dışındaki araçları çağırmasına neden olabilirdi; kanıtlanan etki kalıcı zamanlanmış işlerin oluşturulmasıdır. İstismar edilebilirlik, modelin enjekte edilen talimata göre hareket etmesine ve yardımcının hangi araçları sunduğuna bağlıdır. Sorun 2026.8.1 sürümünde düzeltilmiştir; geçici çözüm olarak, düşük güvenilirliğe sahip göndericiler tarafından erişilebilen ajanlar için oturum belleği dosya adı oluşturma özelliği devre dışı bırakılmalıdır.