CVE-2026-100584

OpenClaw, npm üzerinden dağıtılan bir ajan çalışma zamanıdır. >= 2026.2.26 ve < 2026.7.1 sürümlerinde, exec izinli liste modunda çalışan Windows ana bilgisayarlarındaki PowerShell komut analizi, PATH üzerinden çözümlenen kesin bir yürütülebilir dosyayı onaylayabilir ancak sonrasında çalışma alanı dizininde bulunan aynı isimli bir yürütülebilir dosyayı çalıştırabilir. Eğer daha düşük güven seviyesindeki içerikler, onaylanmış bir temel ada sahip yürütülebilir dosyayı ajanın yazabildiği bir çalışma alanına yerleştirebilirse ve yalın yürütülebilir ad kullanan onaylı bir PowerShell komutunu yönlendirebilirse, OpenClaw izinli yol yerine çalışma alanı dosyasını çalıştırarak Gateway veya node-host kullanıcısının ayrıcalıklarıyla rastgele kod çalıştırabilir. Sorun, onaylanmış yürütülebilir dosyanın kendisinin değiştirilmesini gerektirmez. 2026.7.1 sürümü bir düzeltme içermektedir; geçici çözüm olarak, onaylanmış PowerShell komutlarında yalın yürütülebilir adlardan kaçının ve yürütülebilir dosyaları ajanın yazabildiği çalışma alanlarının dışında tutun.