CVE-2026-100597
Publiée le 2026-09-26 · Dernière modification le 2026-09-26
Les applications utilisant le package npm `openclaw` sont affectées par une condition de concurrence (race condition) lors des opérations sur le système de fichiers. Un utilisateur local disposant de permissions limitées peut contourner les restrictions du bac à sable (sandbox) pour créer, renommer ou supprimer des fichiers n'importe où sur le système hôte auxquels le processus OpenClaw a accès. Cette faille est difficile à exploiter car elle nécessite un timing précis pour modifier le chemin d'un fichier exactement entre la vérification de sécurité du logiciel et l'opération réelle.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
OpenClaw (npm package 'openclaw') before 2026.7.1 is vulnerable to a time-of-check time-of-use race condition in OpenShell local mirror filesystem mutation operations. The remove, mkdir, and rename operations could act on a different filesystem target after OpenClaw completed its sandbox path-safety check, if the path is changed concurrently. An attacker able to win the race can cause a sandboxed operation to delete, create, or rename a host path outside the intended mirror root with the permissions of the OpenClaw process user. This does not require an operator to have granted host filesystem access outside the sandbox. The issue is fixed in 2026.7.1.