CVE-2026-100546

OpenClaw (`openclaw` npm paketi) >= 2026.7.2 ve < 2026.9.2 sürümleri, Discord gerçek zamanlı ses transkripsiyon yolunda bir yarış durumu (race condition) içermektedir. Eşzamanlı kontrol sınıflandırmalı ses transkripsiyonları, asenkron bir kontrol denetiminden sonra başka bir katılımcıya ait konuşmacı bağlamını tüketebilir ve bu durum bir transkripsiyonun başka bir konuşmacının sahip (owner) durumunu devralmasına neden olabilir. Etkilenen gerçek zamanlı kontrol yolunu kullanan Discord agent-proxy ses oturumlarında, sahibi olmayan bir katılımcının ifadesi alt akış agent sınırına sahip olarak işaretlenmiş şekilde ulaşabilir, böylece sahibe duyarlı davranışlar yanlış konuşmacıya uygulanır. İstismar edilme durumu, eşzamanlı transkripsiyon zamanlamasına ve etkilenen agent için mevcut olan araçlara ve komutlara bağlıdır. Sorun 2026.9.2 sürümünde düzeltilmiştir; geçici çözüm olarak, sahip ve sahibi olmayan göndericileri ayırt eden agent'lar için Discord gerçek zamanlı sesi devre dışı bırakın.