PT-2026-20351
CVE-2026-26319
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-02-20
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw الأقدم من 2026.2.14
الوصف
برنامج OpenClaw، عند استخدامه للمكوّن الإضافي
@openclaw/voice-call، معرض لخطر تجاوز المصادقة. وعلى وجه التحديد، قد يقبل معالج webhook الخاص بـ Telnyx طلبات webhook الواردة غير الموقعة إذا لم يتم تعريف الإعداد telnyx.publicKey. وهذا يسمح للمتصلين غير المصادق عليهم بتزوير أحداث Telnyx. تحدث المشكلة لأن الدالة TelnyxProvider.verifyWebhook() قد تفشل بشكل علني في حالة عدم تكوين أي مفتاح عام لـ Telnyx، مما يؤدي إلى معالجة طلبات HTTP POST التعسفية على أنها أحداث Telnyx شرعية. لا تظهر هذه الثغرة الأمنية إلا عندما يكون المكون الإضافي Voice Call مثبتًا ومفعَّلًا، ويكون نقطة نهاية الويب هوك متاحة للمهاجم. يوجد تجاوز للتحقق من التوقيع فقط لأغراض التطوير المحلي عبر skipSignatureVerification: true، وهو معطل افتراضيًا ويصدر تحذيرًا.التوصيات
قم بتكوين
plugins.entries.voice-call.config.telnyx.publicKey (أو TELNYX PUBLIC KEY) لتمكين التحقق من التوقيع.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾