CVE-2026-100599

OpenClaw 2026.5.1 ile 2026.7.0 arasındaki sürümler, yapılandırılmış exec onay yolunu Google Meet düğüm komutlarına uygulamada başarısız olur. googlemeet.chrome komutu, çağırıcı tarafından sağlanan ses komutu dizilerini kabul eder ve bunları normal system.run onay akışından geçirmeden eşleşmiş bir düğüm üzerinde yürütür. Google Meet eklentisinin etkin olduğu, eşleşmiş bir Chrome düğümünün bulunduğu ve googlemeet.chrome düğüm komutuna izin verildiği dağıtımlarda, bu komutu çağırma yetkisine sahip araç destekli bir ajan, eşleşmiş düğümde saldırgan tarafından seçilen süreçleri çalıştırabilir; bu durum söz konusu düğümdeki dosyaları, kimlik bilgilerini, tarayıcı profillerini ve erişilebilirliği etkiler. Sorun 2026.7.1 sürümünde düzeltilmiştir; geçici çözüm olarak googlemeet.chrome izni verilen düğüm komutlarından kaldırılmalı veya Google Meet eklentisi devre dışı bırakılmalıdır.