CVE-2026-100540
ŚrednieCVSS 6.8Streszczenie
OpenClaw Feishu przed wersją 2026.8.1 nie weryfikuje, czy skonfigurowane konto domyślne jest wyłączone, zanim wybierze je do operacji narzędzi modelu. Atakujący mogą wykorzystać konfiguracje z wieloma kontami, gdzie wyłączone konto domyślne zachowuje poświadczenia, aby czytać lub modyfikować zasoby Feishu przez odwołaną tożsamość.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do zasobów Feishu przez odwołaną tożsamość, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj OpenClaw Feishu do wersji 2026.8.1 lub nowszej oraz upewnij się, że wyłączone konta domyślne nie mają zachowanych poświadczeń.
Inne podatności w OpenClaw Feishu
Zobacz wszystkie- CVE-2026-62188Wysokie
W bibliotece OpenClaw @openclaw/feishu w wersjach do 2026.6.6 włącznie wykryto podatność polegającą na nieprawidłowej autoryzacji. Narzędzia uprawnień Feishu mogą ignorować ustawienia wyłączenia dla poszczególnych kont, co pozwala mniej zaufanemu wywołującemu lub skonfigurowanej ścieżce wejściowej na wykonanie akcji wymagających silniejszej autoryzacji. Problem został naprawiony w wersji 2026.6.9.
- CVE-2026-62187Wysokie
Podatność w pakiecie npm @openclaw/feishu (wersje do 2026.6.6) pozwala na ignorowanie wyłączeń dla poszczególnych kont. Niżej zaufany wywołujący lub skonfigurowana ścieżka wejściowa mogą wykonać operacje wymagające silniejszej autoryzacji, co prowadzi do nieautoryzowanych działań. Problem został naprawiony w wersji 2026.6.9.
Oryginalny opis (angielski, źródło NVD)
OpenClaw Feishu before 2026.8.1 fails to validate whether a configured default account is disabled before selecting it for model tool operations. Attackers can exploit multi-account setups where a disabled default account retains credentials to read or modify Feishu resources through a revoked identity.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS