PT-2026-23525
CVE-2026-28446
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-03-11
الوصف من
CVSS 3.1
9.4
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw الأقدم من 2026.2.2
الوصف
يوجد ثغرة في عملية تجاوز المصادقة في الملحق الاختياري
voice-call عند استخدام التحقق من صحة سياسة قائمة الأذونات الواردة. يقبل النظام معرّفات المكالمات الفارغة ويستخدم المطابقة القائمة على اللاحقة بدلاً من المطابقة الصارمة. وهذا يسمح للمهاجمين عن بُعد بالتحايل على ضوابط الوصول الداخلي عند إجراء مكالمات بمعرّفات مكالمات مفقودة أو أرقام تنتهي بأرقام موجودة في قائمة الأذونات، مما قد يتيح لهم الوصول إلى الوكيل voice-call وتشغيل الأدوات. تؤثر هذه المشكلة على عمليات النشر التي تم تثبيت الملحق voice-call فيها وتفعيله. ترتبط هذه الثغرة الأمنية بالتحقق من قائمة الأذونات الواردة في الملف extensions/voice-call/src/manager.ts، الذي كان يستخدم المطابقة القائمة على اللاحقة ويقبل معرّفات المكالمات الفارغة بعد التوحيد. وعلى وجه التحديد، كانت قيم «from» المفقودة أو الفارغة تُعَدَّل إلى سلسلة فارغة، مما يجعل شرط قائمة الأذونات يُقيَّم على أنه مسموح به. بالإضافة إلى ذلك، كان المطابقة القائمة على اللاحقة تعني أن أي رقم مكالمة تنتهي أرقامه برقم موجود في قائمة الأذونات سيتم قبوله. المكون المعرض للثغرة هو الملحق «voice-call».التوصيات
يجب تحديث إصدارات OpenClaw الأقدم من 2026.2.2 إلى الإصدار 2026.2.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾