Apa yang terjadi
OpenClaw 2026.2.12 sebelum 2026.5.26 mengandung authorization bypass vulnerability dalam hooks allowedAgentIds validation. Lower-trust caller atau configured input path dapat bypass agent ID restrictions dengan menyerahkan blank agent IDs, memungkinkan actions yang seharusnya memerlukan stronger authorization atau policy checks. NVD mempublikasikan 2026-07-16/17, CVSS 7.1 (High, CVSS v3.1).
Mengapa penting
Agent-ID-based access restriction adalah foundational control dalam multi-agent OpenClaw deployments untuk mensegregasi agent mana yang dapat trigger hooks/actions mana; trivial blank-value bypass merusak isolation tersebut dan dapat memungkinkan unauthorized atau lower-trust agent untuk trigger hook-gated actions yang dimaksudkan hanya untuk specific authorized agent identities.
Vektor serangan
Menyerahkan blank/empty agentId value ke hooks validation logic untuk bypass allowedAgentIds restriction checks
Sistem yang terdampak
OpenClaw 2026.2.12 sebelum 2026.5.26
Mitigasi
Upgrade ke OpenClaw 2026.5.26 atau lebih baru; lihat GitHub security advisory GHSA-724r-v4wf-mqc5