یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100591 در OpenClaw، که یک Gateway برای Agentها و توزیع شده از طریق npm است، شناسایی شده است. این نقص امنیتی در نسخه‌های پیش از 2026.7.1 وجود دارد و شدت آن در سطح Medium ارزیابی شده است.
جزئیات فنی آسیب‌پذیری
مشکل مذکور در بخش مدیریت تغییرات (Mutations) مربوط به سوئیچ Active Memory در سطح Global رخ می‌دهد. در این نسخه‌ها، سیستم در هنگام اعمال تغییرات روی این تنظیمات، بررسی‌های مربوط به مالکیت (Owner Checks) را نادیده می‌گیرد.
در نتیجه، یک فرستنده در کانال‌های خارجی (External-channel sender) که دارای دسترسی‌های اولیه است اما مالک Gateway نیست، می‌تواند به صورت دائمی قابلیت Active Memory را فعال یا غیرفعال کند. این اقدام منجر به نتایج زیر می‌شود:
- غیرفعال‌سازی حافظه: حذف قابلیت Recall حافظه برای تمامی نشست‌های (Sessions) آینده.
- فعال‌سازی غیرمجاز: فعال کردن Recall سراسری در حالی که مالک سیستم قصد داشت این قابلیت غیرفعال باقی بماند.
محدودیت‌های آسیب‌پذیری
لازم به ذکر است که این نقص تنها بر تغییرات وضعیت On/Off در سطح Global اثر می‌گذارد. کنترل‌های مربوط به سطح نشست (Session-level controls) و وضعیت‌های Read-only تحت تأثیر این آسیب‌پذیری قرار ندارند و همچنان به درستی عمل می‌کنند.
