PT-2026-20369
CVE-2026-26323
·
تاريخ النشر
2026-02-18
·
تاريخ التحديث
2026-02-20
الوصف من
CVSS 3.1
8.8
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw من 2026.1.8 إلى 2026.2.13
الوصف
يحتوي البرنامج على مشكلة حقن الأوامر في البرنامج النصي
scripts/update-clawtributors.ts. ويؤثر ذلك على المساهمين أو القائمين على الصيانة، وأنظمة التكامل المستمر (CI)، الذين يقومون بتنفيذ bun scripts/update-clawtributors.ts على نسخة من المصدر تحتوي على بريد إلكتروني خبيث لمؤلف الالتزام. يستخرج البرنامج النصي معلومات تسجيل الدخول إلى GitHub من بيانات تعريف مؤلف git log ويستخدمها في أمر شل عبر execSync. يمكن لسجل التزام مصمم خصيصًا حقن أحرف شل خاصة، مما يؤدي إلى تنفيذ أوامر عشوائية. لا يتأثر الاستخدام العادي لواجهة سطر الأوامر (CLI)، مثل npm i -g openclaw، لأن البرنامج النصي ليس جزءًا من واجهة سطر الأوامر المرفقة ولا يتم تنفيذه أثناء التشغيل الروتيني.التوصيات
يجب تحديث الإصدارات من 2026.1.8 إلى 2026.2.13 إلى الإصدار 2026.2.14 أو أحدث. كحل مؤقت، تجنب تشغيل البرنامج النصي
bun scripts/update-clawtributors.ts على عمليات سحب المصادر التي تحتوي على سجل التزامات غير موثوق به.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾