CVE-2026-100575

8.8 Élevée

Publiée le 26/09/2026 à 05:17 · Modifiée le 08/10/2026 à 18:16 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

OpenClaw Slack versions before 2026.8.1 fail to properly enforce sender allowlists in multi-person direct messages. Disallowed participants can trigger Slack agents and access tools and data granted to those agents by bypassing configured sender policies.

Traduire en français

Produits concernés

openclaw slack

Scores CVSS

Version	Score	Source	Vecteur
4.0	8.7 Élevée	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	8.8 Élevée	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-862

Références

https://github.com/openclaw/openclaw/security/advisories/GHSA-58qx-6m8p-wh2j
https://www.vulncheck.com/advisories/openclaw-slack-before-2026.8.1-authentication-bypass-via-group-dm

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories