یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100593 در بسته openclaw (یک پکیج npm) شناسایی شده است که در نسخه‌های پیش از 2026.7.1 وجود دارد. این نقص امنیتی مربوط به عدم اجرای صحیح محدودیت‌های دسترسی برای تغییرات سیاست‌های فعال‌سازی در کانال‌های گروهی است.
جزئیات فنی آسیب‌پذیری
در حالت عادی، تغییرات مربوط به سیاست‌های فعال‌سازی (Persistent /activation policy) در کانال‌های گروهی باید تنها توسط مالک (Owner) انجام شود. اما در نسخه‌های آسیب‌پذیر، هر کاربر مجاز که قابلیت ارسال پیام در کانال را داشته باشد، می‌تواند این محدودیت را دور زده و تنظیمات فعال‌سازی Agent را تغییر دهد.
پیامدهای احتمالی
- افشای پاسخ‌ها: مهاجم می‌تواند تنظیمات مربوط به فعال‌سازی مبتنی بر Mention را تغییر دهد تا Agent به صورت گسترده‌تر در گروه پاسخ دهد و پاسخ‌های خود را در معرض ترافیک اضافی گروه قرار دهد.
- اختلال در سرویس: مهاجم می‌تواند رفتار فعال‌سازی مورد انتظار را سرکوب کند، به‌طوری که Agent دیگر به درخواست‌های کاربر پاسخ ندهد تا زمانی که مالک تنظیمات را به حالت اولیه بازگرداند.
راهکار رفع مشکل
این مشکل در نسخه 2 (و نسخه‌های اصلاح شده 2026.7.1 به بعد) برطرف شده است. به تمامی توسعه‌دهندگانی که از این بسته در پروژه‌های خود استفاده می‌کنند، توصیه می‌شود سریعاً به آخرین نسخه به‌روزرسانی کنند.
