PT-2026-23521
CVE-2026-28392
·
تاريخ النشر
2026-02-18
·
تاريخ التحديث
2026-03-10
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات OpenClaw الأقدم من 2026.2.14
الوصف
يقوم معالج أوامر «slash» في Slack بمنح صلاحيات بشكل غير صحيح لأي مرسل لرسالة مباشرة عندما تكون سياسة
dmPolicy مضبوطة على «مفتوح». وهذا يسمح للمهاجمين بتنفيذ أوامر ”slash“ ذات امتيازات عبر الرسائل المباشرة، متجاوزين بذلك قيود قائمة الأذونات ومجموعة الوصول. تحدث المشكلة عندما تكون الرسائل المباشرة في Slack ممكّنة باستخدام channels.slack.dm.policy: open (المعروف أيضًا باسم dmPolicy=open). يمكن لأي مستخدم في Slack قادر على إرسال رسالة مباشرة إلى الروبوت استدعاء أوامر سلاش ذات امتيازات.التوصيات
قم بالتحديث إلى الإصدار 2026.2.14 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾