CVE-2026-100579

Nome do Software Vulnerável e Versões Afetadas OpenClaw versões anteriores a 2026.7.1

Descrição O software confia incorretamente na procedência do solicitante em message.action. Em implantações de Gateway com suporte a identidade, que são modos de autenticação que respeitam a identidade do chamador e escopos de operador mais restritos, um chamador com escopo de gravação pode fornecer o identificador de outro remetente para as verificações de autorização do canal. Isso permite que o chamador invoque uma ação de canal usando uma identidade de solicitante falsificada, permitindo o acesso a operações que o adaptador de canal normalmente negaria ao chamador real. O impacto varia dependendo do canal habilitado, da ação executada e das permissões da conta de destino.

Recomendações Atualize para a versão 2026.7.1. Restrinja message.action a administradores. Desative ações de canal sensíveis que dependam da identidade do solicitante.