CVE-2026-100548

OpenClaw ('openclaw' npm paketi) >= 2026.3.28 ve < 2026.8.1 sürümleri, bellek gömme (memory embedding) yedekleme mekanizmasında bir kimlik bilgisi ifşası sorunu içermektedir. Uzak gömme geri dönüşü (remote embedding fallback) yapılandırıldığında ve birincil gömme sağlayıcısı hata verdiğinde, istek farklı bir yedek sağlayıcıya gönderilirken hala birincil sağlayıcının yapılandırılmış API anahtarını kullanabilir; bu durum, söz konusu kimlik bilgisinin istenmeyen bir satıcıya taşıyıcı belirteç (bearer token) olarak iletilmesine neden olur. Pratik etki, yapılandırılan sağlayıcılara, yedeklemenin gerçekleşip gerçekleşmediğine ve birincil sağlayıcı anahtarına bağlı ayrıcalıklara bağlıdır. Sorun 2026.8.1 sürümünde düzeltilmiştir; geçici çözüm olarak, sağlayıcılar arası gömme geri dönüşünü devre dışı bırakın veya her sağlayıcıyı ayrı, dar kapsamlı kimlik bilgileriyle yapılandırın.