PT-2026-23561
CVE-2026-29606
·
تاريخ النشر
2026-02-15
·
تاريخ التحديث
2026-03-11
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.2.14
الوصف
يحتوي البرنامج على ثغرة تسمح بتجاوز عملية التحقق من توقيع الويب هوك في ملحق المكالمات الصوتية. وهذا يسمح بوصول طلبات غير مصدقة عند تمكين الخيار
tunnel.allowNgrokFreeTierLoopbackBypass. يمكن لمهاجم خارجي إرسال طلبات مزورة إلى نقطة نهاية webhook التي يمكن الوصول إليها علنًا دون وجود رأس X-Twilio-Signature صالح، مما يؤدي إلى معالجة أحداث webhook غير مصرح بها وهجمات محتملة بإغراق الطلبات. تقتصر هذه المشكلة على التكوينات التي يكون فيها ملحق المكالمات الصوتية ممكّنًا وخيار tunnel.allowNgrokFreeTierLoopbackBypass ممكّنًا بشكل صريح، مما يجعل webhook قابلاً للوصول.التوصيات
قم بالتحديث إلى الإصدار 2026.2.14 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾