PT-2026-23532
CVE-2026-28454
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-03-07
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات OpenClaw الأقدم من 2026.2.2
إصدارات OpenClaw 2026.1.30 والإصدارات الأقدم
الوصف
عندما يتم تمكين وضع webhook في Telegram دون تكوين سر webhook، قد يقبل البرنامج طلبات HTTP POST غير مصدقة على نقطة نهاية webhook في Telegram ويثق في بيانات JSON للتحديث التي يتحكم فيها المهاجم. قد يتيح ذلك إجراء تحديثات Telegram مزورة تزيف قيمتي
message.from.id وchat.id، مما قد يؤدي إلى التحايل على قوائم المرسلين المسموح بهم وتنفيذ أوامر ذات امتيازات خاصة بالبوت. يمكن للمهاجمين تزوير تحديثات Telegram عن طريق تزوير هذه الحقول للتحايل على قوائم المرسلين المسموح بهم وتنفيذ أوامر ذات امتيازات خاصة بالبوت. تحدث هذه الثغرة الأمنية بسبب الفشل في التحقق من صحة أسرار الويب هوك عند تفعيل وضع الويب هوك في Telegram. نقطة نهاية واجهة برمجة التطبيقات (API) المتأثرة هي نقطة نهاية الويب هوك الخاصة بـ Telegram. تشمل المعلمات المعرضة للخطر message.from.id وchat.id.التوصيات
إصدارات OpenClaw الأقدم من 2026.2.1: قم بتعيين
channels.telegram.webhookSecret قوي وتأكد من أن بروكسيك العكسي يقوم بتوجيه رأس X-Telegram-Bot-Api-Secret-Token دون تغيير.إصدار OpenClaw 2026.1.30 والإصدارات الأقدم: قم بتعيين قيمة قوية لـ
channels.telegram.webhookSecret وتأكد من أن الوكيل العكسي الخاص بك يقوم بتوجيه رأس X-Telegram-Bot-Api-Secret-Token دون تغيير.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾