PT-2026-23546
CVE-2026-28471
·
تاريخ النشر
2026-02-17
·
تاريخ التحديث
2026-03-07
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات OpenClaw من 2026.1.14-1 حتى 2026.2.1
الوصف
يحتوي البرنامج على ثغرة أمنية يمكن من خلالها التحايل على مطابقة قائمة أذونات الرسائل المباشرة (MD) عن طريق مطابقة أسماء العرض الخاصة بالمرسل والأجزاء المحلية تمامًا دون التحقق من الخادم الرئيسي. وهذا يسمح لمستخدمي Matrix عن بُعد بالانتحال بهويات مسموح بها باستخدام أسماء العرض التي يتحكم فيها المهاجم أو عن طريق مطابقة الأجزاء المحلية لخوادم منزلية مختلفة، مما قد يؤدي إلى الوصول إلى مسار التوجيه والوكيل. تنشأ المشكلة لأن قرارات قائمة أذونات الرسائل المباشرة (MD) تُتخذ من خلال المطابقة الدقيقة للمدخلات مع العناصر المرشحة المستمدة من المرسل، بما في ذلك اسم العرض الخاص بالمرسل والجزء المحلي من معرّف MX الخاص بالمرسل دون مكون الخادم الرئيسي. إذا قام أحد المشغلين بتكوين قوائم السماح في Matrix باستخدام أسماء العرض أو الأجزاء المحلية المعزولة، فقد يتمكن مستخدم Matrix عن بُعد من انتحال هوية مسموح بها.
التوصيات
قم بالتحديث إلى الإصدار 2026.2.2 أو أحدث من OpenClaw.
تأكد من أن قوائم السماح في Matrix تحتوي فقط على معرّفات مستخدمي Matrix (MXIDs) الكاملة، مثل
@user:server. لا تستخدم أسماء العرض أو الأجزاء المحلية المنفصلة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾