یک آسیب‌پذیری امنیتی با شناسه CVE-2026-100599 در نرم‌افزار OpenClaw شناسایی شده است که سطح شدت آن HIGH ارزیابی شده است. این نقص امنیتی نسخه‌های 2026.5.1 تا 2026.7.0 را تحت تأثیر قرار می‌دهد.
جزئیات فنی آسیب‌پذیری
مشکل اصلی در این نسخه‌ها، عدم اعمال صحیح مسیر تأیید اجرای دستورات (exec approval path) در دستورات مربوط به نودهای Google Meet است. به طور مشخص، دستور googlemeet.chrome آرایه‌های دستورات صوتی ارسالی توسط کاربر (caller-supplied audio command arrays) را پذیرفته و آن‌ها را روی یک نود جفت‌شده (paired node) اجرا می‌کند، بدون اینکه این فرآیند از جریان تأیید استاندارد system.run عبور کند.
سناریوی حمله
در محیط‌هایی که شرایط زیر برقرار باشد، ریسک حمله بسیار بالا است:
- پلاگین Google Meet فعال باشد.
- یک نود Chrome جفت‌شده (paired) در شبکه وجود داشته باشد.
- اجازه اجرای دستور
googlemeet.chromeصادر شده باشد.
در چنین شرایطی، یک Agent که قابلیت استفاده از ابزارها (tool-enabled) را دارد و می‌تواند این دستور را فراخوانی کند، قادر خواهد بود فرآیندهای انتخابی مهاجم (attacker-selected processes) را روی سیستم هدف اجرا نماید که منجر به Remote Code Execution (RCE) می‌شود.
