CVE-2026-26316

إصدارات OpenClaw الأقدم من 2026.2.13

إصدارات @openclaw/bluebubbles الأقدم من 2026.2.13

يمكن أن يقبل المكون الإضافي الاختياري لقناة iMessage التابع لـ BlueBubbles طلبات webhook على أنها مصادق عليها استنادًا إلى عنوان TCP الخاص بالنظير الذي يكون عنوان loopback (127.0.0.1، ::1، ::ffff:127.0.0.1) حصريًّا، حتى في حالة عدم وجود سر webhook المُعد أو وجوده بشكل غير صحيح. لا يؤثر هذا على تكامل iMessage القياسي، ما لم يكن BlueBubbles مثبتًا ومفعَّلًا. إذا كان أحد النشر يعرض نقطة نهاية webhook الخاصة بـ BlueBubbles عبر وكيل عكسي (reverse proxy) على نفس المضيف، أو إذا تمكن مهاجم من الوصول إلى عنوان loopback عبر تزوير الطلبات من جانب الخادم (SSRF)، فقد يتمكن طرف غير مصدَّق من إدخال أحداث webhook واردة في مسار عمل الوكيل.

يجب تحديث الإصدارات الأقدم من 2026.2.13 إلى الإصدار 2026.2.13 أو أحدث.

قم بتعيين كلمة مرور غير فارغة لـ webhook الخاص بـ BlueBubbles.

تجنب عمليات النشر التي يقوم فيها وكيل عكسي مكشوف علنًا بإعادة التوجيه إلى بوابة مرتبطة بـ loopback دون مصادقة قوية في الاتجاه الصاعد.