CVE-2026-100575

WysokieCVSS 8.8

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

OpenClaw Slack w wersjach przed 2026.8.1 nie wymusza prawidłowo list dozwolonych nadawców w bezpośrednich wiadomościach grupowych. Niedozwoleni uczestnicy mogą wyzwalać agentów Slack i uzyskiwać dostęp do narzędzi i danych przyznanych tym agentom, omijając skonfigurowane polityki nadawców. Luka została naprawiona w wersji 2026.8.1.

Ocena ryzyka

Nieuprawnieni użytkownicy mogą wchodzić w interakcję z agentami Slack i uzyskiwać dostęp do danych oraz narzędzi, do których nie powinni mieć dostępu. Może to prowadzić do wycieku informacji lub nieautoryzowanych działań.

Rekomendacja

Zaktualizuj OpenClaw Slack do wersji 2026.8.1 lub nowszej. Do czasu aktualizacji rozważ wyłączenie agentów Slack w kontekstach bezpośrednich wiadomości grupowych lub zaostrzenie polityk nadawców.

Inne podatności w OpenClaw Slack

CVE-2026-100531Średnie
Pakiet npm @openclaw/slack przed wersją 2026.8.1 zawiera wadę autoryzacji w handlerze pobierania plików Slack: gdy plik nie ma metadanych udostępniania, które potwierdzają przynależność do żądanej konwersacji, kontrola autoryzacji konwersacji zawodzi w trybie otwartym. Uwierzytelniony wywołujący ograniczony do jednej konwersacji, znając lub uzyskując identyfikator pliku, może pobrać zawartość plików spoza zakresu tej konwersacji, ujawniając dane między skonfigurowanymi granicami konwersacji.

Oryginalny opis (angielski, źródło NVD)

OpenClaw Slack versions before 2026.8.1 fail to properly enforce sender allowlists in multi-person direct messages. Disallowed participants can trigger Slack agents and access tools and data granted to those agents by bypassing configured sender policies.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS