PT-2026-23535
CVE-2026-28458
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-03-18
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
OpenClaw من الإصدار 2026.1.20 حتى 2026.2.0
moltbot الإصدار 0.1.0 والإصدارات الأقدم
الوصف
لم تتطلب نقطة نهاية WebSocket
/cdp الخاصة بـ Browser Relay أي مصادقة، مما سمح للمواقع بالاتصال عبر loopback والوصول إلى البيانات الحساسة. يمكن للمهاجمين الاتصال بـ ws://127.0.0.1:18792/cdp لسرقة ملفات تعريف الارتباط الخاصة بالجلسة وتشغيل JavaScript في علامات تبويب أخرى بالمتصفح. يجب أن يكون الملحق Browser Relay مثبتًا ونشطًا لدى المستخدمين، كما يجب عليهم زيارة موقع غير موثوق به حتى يحدث الاستغلال. يعرض المكون المعرض للخطر نقطة نهاية WebSocket محلية لتوجيه رسائل بروتوكول Chrome DevTools (CDP). كان مسار الترقية /cdp يتحقق مما إذا كان نظير TCP عبارة عن حلقة مرتدة، لكنه لم يكن يتطلب سرًا مشتركًا ولم يكن يحظر الطلبات عبر الأصول التي يطلقها المتصفح.التوصيات
قم بالتحديث إلى الإصدار 2026.2.1 أو أحدث من OpenClaw.
إذا لم تتمكن من التحديث على الفور، فقم بتعطيل ملحق Browser Relay أو خادم الترحيل وتجنب زيارة المواقع غير الموثوقة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾