Security: private coordinated disclosure ready (enable PVR or contact @macncrash)
还没有人认领这个 Issue。
评估
- 难度
- 4/5
- 预计耗时
- 3-5 天
- 新手友好度
- 25/100
- Issue 类型
- 功能
- 描述清晰度
- 需要澄清
- 活跃度
- 活跃
- 技术栈
- github
- 领域
- security
调研方向
The issue names no repository files, tests, or code entry points. Start by reviewing the repository's GitHub Security Advisories and private vulnerability reporting settings, then consult the linked private disclosure package; done means the reporter can submit the report or receives maintainer contact.
由索引模型根据 Issue 内容生成。
描述
Coordination request (no technical details here)
I have a private coordinated vulnerability report for ultraworkers/claw-code affecting sandbox isolation reporting and permission-mode persistence (HIGH). Report includes full write-up and suggested patches.
Private vulnerability reporting appears disabled on this repository (GET .../private-vulnerability-reporting → enabled: false), so I cannot file a GHSA report via the API.
Please either
- Enable private vulnerability reporting so I can submit the full package via GitHub Security Advisories, or
- Contact @macncrash /
[email protected]and I will grant access to the private package repo or re-send the materials.
Private package (invite-only): https://github.com/macncrash/saudit-disclosure-claw-code-2026-07
I will not post exploit details, PoCs, or patches on this public issue.
Reporter: macncrash
AI-assisted analysis; findings human-verified. Local validation only.
Thank you.
- 主要语言
- Rust
- 星标
- 195k
- 派生
- 108k
- PR 合并指标
- 30 天内没有已合并 PR
环境准备
- 提供 Dockerfile 或 Docker Compose 文件
- 有 Pull Request 模板
- 阅读贡献指南
从这里开始
- 先读完整个 Issue，再读项目的贡献指南。
- 在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
- Fork 仓库，在一个分支上完成修改。
- 提交 Pull Request，并在描述里引用这个 Issue 编号。
ultraworkers/claw-code 的其他 Issue
-
Fix markdown formatting issues in TUI streaming: block-level element newline omission and consecutive empty line accumulation可能重新可做 @Aditaya08 于 51 天前认领，目前没有进行中的 PR。 未关闭
难度 2/5 1-3 小时 新手友好度 78/100
ultraworkers/claw-code#3259 · 7 条评论 ·
-
fix(cli): resolve duplicate assistant text printing after 'Done' in non-compact text mode可能已有人在做 @nankingjing 于 90 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 72/100
ultraworkers/claw-code#3258 · 1 条评论 ·
-
bug: Missing newlines before paragraphs and code blocks in streamed Markdown rendering可能已有人在做 @nankingjing 于 90 天前认领。 未关闭
难度 2/5 1-3 小时 新手友好度 78/100
ultraworkers/claw-code#3257 · 2 条评论 ·
-
[CRITICAL][SECURITY] Untrusted project hooks bypass read-only mode for arbitrary command execution未关闭
难度 4/5 3-5 天 新手友好度 68/100
ultraworkers/claw-code#3301 · 4 条评论 ·
-
难度 4/5 3-5 天 新手友好度 20/100
ultraworkers/claw-code#3300 · 2 条评论 ·
查看 ultraworkers/claw-code 的全部 Issue
相似的 Issue
-
难度 2/5 1-3 小时 新手友好度 70/100
维护者通常 1 天内回复
-
难度 1/5 1 小时以内 新手友好度 75/100
element-hq/lk-jwt-service#248 ·
维护者通常 1 天内回复
-
难度 2/5 1-3 小时 新手友好度 78/100
pact-foundation/pact-cli#154 ·
维护者通常 3 天内回复
-
难度 2/5 1-3 小时 新手友好度 72/100
antithesishq/bombadil#361 ·
维护者通常 1 天内回复
-
test(executor_l0): assert execute() TaskOutcome, not only bus events / 断言 execute() 返回的 TaskOutcome未关闭type:debt
难度 2/5 1-3 小时 新手友好度 62/100
skaiy/wild_agentos#425 ·
维护者通常 1 天内回复