PT-2026-23527
CVE-2026-28448
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-03-07
الوصف من
CVSS 3.1
9.4
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw من 2026.1.29 إلى 2026.2.0
الوصف
يعاني برنامج OpenClaw، مع تثبيت المكون الإضافي لـ Twitch وتفعيله، من مشكلة يتم فيها تجاهل التحكم في الوصول. وعلى وجه التحديد، لا يتم تطبيق قائمة الأذونات
allowFrom بشكل صحيح عندما يكون allowedRoles غير مُهيأ أو فارغًا. وهذا يسمح لمستخدمي Twitch غير المصرح لهم بتشغيل الوكيل عن طريق ذكر البوت في دردشة Twitch. توجد المنطقية المسببة للمشكلة في الدالة checkTwitchAccessControl() الخاصة بمكوّن Twitch الإضافي (extensions/twitch/src/access-control.ts). عندما يكون allowFrom مُعيَّنًا، لا يُرجع الكود allowed: false لغير الأعضاء، مما يؤدي إلى استمرار التنفيذ. إذا لم يتم تكوين allowedRoles أو كان فارغًا، فإن الدالة تحدد القيمة الافتراضية allowed: true، حتى عندما يكون allowFrom مكوّنًا. قد يؤدي ذلك إلى إجراءات واستجابات غير مقصودة، بالإضافة إلى احتمال استنفاد الموارد للمشغلين الذين اعتمدوا على allowFrom لتقييد استدعاء البوت في دردشة Twitch.التوصيات
يجب تحديث إصدارات OpenClaw من 2026.1.29 إلى 2026.2.0 إلى الإصدار 2026.2.1 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾