CVE-2026-26323

OpenClaw kişisel bir yapay zeka asistanıdır. 2026.1.8 ile 2026.2.13 arasındaki sürümlerde, `scripts/update-clawtributors.ts` bakımcı/gelistirici betiğinde bir komut enjeksiyonu bulunmaktadır. Bu sorun, kötü niyetli bir commit yazar e-postası (örneğin özel olarak hazırlanmış `@users[.]noreply[.]github[.]com` değerleri) içeren bir kaynak kopyasında `bun scripts/update-clawtributors.ts` komutunu çalıştıran katkıda bulunanları/bakımcıları (veya CI sistemini) etkilemektedir. Normal CLI kullanımı (`npm i -g openclaw`) etkilenmemektedir: bu betik gönderilen CLI'ın bir parçası değildir ve rutin operasyonlar sırasında yürütülmez. Betik, `git log` yazar meta verilerinden bir GitHub giriş adı türetmekte ve bunu bir kabuk komutu içine yerleştirmektedir (`execSync` aracılığıyla). Kötü niyetli bir commit kaydı, betik çalıştırıldığında kabuk meta karakterlerini enjekte edebilir ve rastgele komutlar çalıştırabilir. 2026.2.14 sürümü bir yama içermektedir.