CVE-2026-100604

ClawHub (openclaw/clawhub), ClawHub uygulama/backend kısmında hatalı bir yetkilendirme zafiyeti içermektedir: Bir organizasyona ait beceri (skill), orijinal yayıncısının ownerUserId bilgisini korumakta ve transfer ile yaşam döngüsü yetkilendirme kontrolleri, mevcut organizasyon ayrıcalıklarını istemeden önce bu geçmiş kullanıcıya güvenmektedir. Bu nedenle, bir organizasyon becerisini başlangıçta yayınlamış olan kimliği doğrulanmış bir kullanıcı, organizasyon ayrıcalıkları geri alınsa veya düşürülse bile söz konusu beceriyi transfer edebilir, silebilir veya geri yükleyebilir; böylece becerinin güvenilir adı ve geçmişi üzerinde kontrol sağlayabilir. Sorun cbfee7343ddc867316dd9b3de6fa8856730f9f41 revizyonunda onaylanmıştır; etkilenen tüm tarihsel aralık belirlenememiştir. Sorun, 2026-09-11 tarihinde clawhub.ai adresine dağıtılan ve 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 revizyonunda yer alan PR #3680 ile düzeltilmiştir; kendi sunucusunda barındıran (self-hosted) kurulumlar bu revizyona veya daha yeni bir türevine güncellenmelidir. npm CLI ve OpenClaw çalışma zamanı (runtime) ayrı ürünlerdir ve etkilenmemiştir.