CVE-2026-100531
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Pakiet npm @openclaw/slack przed wersją 2026.8.1 zawiera wadę autoryzacji w handlerze pobierania plików Slack: gdy plik nie ma metadanych udostępniania, które potwierdzają przynależność do żądanej konwersacji, kontrola autoryzacji konwersacji zawodzi w trybie otwartym. Uwierzytelniony wywołujący ograniczony do jednej konwersacji, znając lub uzyskując identyfikator pliku, może pobrać zawartość plików spoza zakresu tej konwersacji, ujawniając dane między skonfigurowanymi granicami konwersacji.
Ocena ryzyka
Ryzyko ujawnienia danych między konwersacjami Slack, co może prowadzić do naruszenia poufności informacji.
Rekomendacja
Zaktualizuj pakiet @openclaw/slack do wersji 2026.8.1 lub nowszej, aby naprawić wadę autoryzacji.
Inne podatności w @openclaw/slack
Oryginalny opis (angielski, źródło NVD)
The @openclaw/slack npm package before 2026.8.1 contains an authorization flaw in its Slack download-file handler: when a file lacks the share metadata used to prove it belongs to the requested conversation, the conversation-authorization check fails open. An authenticated caller restricted to a single conversation who knows or obtains a file identifier can therefore download file contents from outside that conversation's scope, disclosing data across configured conversation boundaries. The issue does not allow listing arbitrary Slack files and does not bypass Slack authentication itself. The issue is fixed in version 2026.8.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS