PT-2026-20324
CVE-2026-25474
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-02-23
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
openclaw الإصدارات الأقدم من 2026.2.1
الوصف
في وضع webhook في Telegram، إذا لم يتم تعريف
channels.telegram.webhookSecret، فقد يقبل البرنامج طلبات HTTP من webhook دون التحقق من رأس الرمز السري لـ Telegram. وقد يتيح ذلك إجراء تحديثات مزيفة على Telegram، مثل تزوير message.from.id، إذا كانت نقطة نهاية webhook متاحة للمهاجم. لا يتم تمكين وضع webhook في Telegram بشكل افتراضي ويتطلب تكوين channels.telegram.webhookUrl. يمكن للمهاجم الذي يتمكن من الوصول إلى نقطة نهاية webhook إرسال تحديثات مزيفة يتم معالجتها كما لو كانت قادمة من Telegram، مما قد يؤدي إلى قيام البوت بأعمال غير مقصودة. المكون المعرض للخطر هو وظيفة webhook.التوصيات
الإصدارات الأقدم من 2026.2.1: قم بتعيين قيمة قوية لـ
channels.telegram.webhookSecret وتأكد من أن الوكيل العكسي الخاص بك يقوم بتوجيه رأس X-Telegram-Bot-Api-Secret-Token دون تغيير.الإصدارات الأقدم من 2026.2.1: قم بتقييد الوصول عبر الشبكة إلى نقطة نهاية الويب هوك.
الإصدارات الأقدم من 2026.2.1: كحل بديل مؤقت، ضع في اعتبارك تعطيل وضع الويب هوك في Telegram عن طريق عدم تكوين
channels.telegram.webhookUrl.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾