Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2026-100582 medium CVSS 6.5

OpenClaw channel plugins (@openclaw/msteams, @openclaw/feishu, @openclaw/matrix, and @openclaw...

Résumé

Faille signalée : vulnérabilité (CVE-2026-100582). Des informations confidentielles peuvent être exposées. Atténuation : mise à jour vers 2026.8.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

Channel read actions could skip target allowlists. In affected versions, explicit read targets in Microsoft Teams, Feishu, Matrix, and Google Chat could reach channels or rooms outside the configured read policy.

This advisory is scoped to caller-supplied targets for message, reaction, pin, member, and related metadata reads in the named plugins. It does not change OpenClaw's trusted-operator model or create per-user isolation within one Gateway.

Impact

A lower-trust sender or steered agent with access to a channel read action could retrieve content or metadata from a target excluded by the operator's channel allowlist. Practical impact depends on the bot account's platform permissions.

Patched Versions

The first stable patched version is 2026.8.1.

Mitigations

upgrade each affected channel plugin to 2026.8.1 or later. Before upgrading, disable explicit-target read actions or limit the connected bot account to allowed channels at the platform level.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-100582 a été découverte.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.5/10.
Action : mettez à jour le logiciel concerné vers 2026.8.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-100582 » sur le site de l'éditeur.

CVE-2026-100582 — CWE-862 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Correctif : 2026.8.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-862) a été signalée.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées.

🔥 Gravité

Gravité : Moyenne (CVSS 6.5/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 2026.8.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    Audit SBOM/dependencies for affected components.

    資産台帳・SBOM・依存マニフェストで影響コンポーネントを特定する。

  2. 2
    Apply patch patch 
    Upgrade to 2026.8.1

    ステージング環境で 2026.8.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm @openclaw/msteams
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.8.1"}]}]
npm @openclaw/feishu
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.8.1"}]}]
npm @openclaw/matrix
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.8.1"}]}]
npm @openclaw/googlechat
[{"type":"SEMVER","events":[{"introduced":"0"},{"fixed":"2026.8.1"}]}]

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus