یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100598 در بسته npm با نام OpenClaw شناسایی شده است که شدت آن HIGH ارزیابی شده است. این نقص امنیتی در نسخه‌های پیش از 2026.7.1 وجود دارد و مربوط به نحوه مدیریت واکنش‌ها (Reactions) در پیام‌های Signal است.
جزئیات فنی نقص امنیتی
در نسخه‌های آسیب‌پذیر، مکانیزم Bind کردن واکنش‌های تایید (Approval Reactions) به درستی عمل نمی‌کند. زمانی که در یک گفتگو (Conversation)، هم پیام‌های متنی عادی ارسالی و هم یک درخواست تایید ساختاریافته (Structured Approval Request) به صورت معلق (Pending) وجود داشته باشند، یک اختلال در شناسایی رخ می‌دهد.
در این حالت، واکنشی که قرار است برای پاسخ به درخواست تایید ارسال شود، ممکن است به اشتباه به یک پیام متنی عادی متصل شود. نتیجه این اتفاق آن است که واکنش یک تاییدکننده (Approver) به یک متن غیرمرتبط، توسط سیستم به عنوان تایید یا رد یک اقدام میزبان (Host Action) تفسیر شود.
تاثیرات عملیاتی
- تایید غیرعمدی: احتمال تایید عملیات‌های حساس بدون بررسی دقیق توسط مدیر یا تاییدکننده.
- اختلال در گردش کار: ریسک اجرای دستوراتی که کاربر قصد تایید آن‌ها را نداشته است.
- وابستگی به محیط: شدت اثر این آسیب‌پذیری به نوع درخواست معلق و ترتیب پیام‌ها در گفتگو بستگی دارد.
به کاربران و توسعه‌دهگانی که از این بسته استفاده می‌کنند توصیه می‌شود سریعاً به نسخه 2026.7.1 یا نسخه‌های جدیدتر ارتقا دهند تا این نقص امنیتی برطرف شود.
