PT-2026-23566
CVE-2026-29613
·
تاريخ النشر
2026-02-12
·
تاريخ التحديث
2026-03-11
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw الأقدم من 2026.2.12
الوصف
يقوم معالج webhook BlueBubbles في OpenClaw بالمصادقة على الطلبات استنادًا إلى عنوان loopback (remoteAddress) فقط، دون التحقق من صحة رؤوس التوجيه. وهذا يسمح بالتحايل على كلمات مرور webhook المُعدة مسبقًا عندما تعمل البوابة خلف بروكسي عكسي. يمكن لمهاجم بعيد غير مصدق عليه حقن أحداث رسائل وردود فعل تعسفية من BlueBubbles عند الوصول إلى نقطة نهاية الوكيل. تحدث المشكلة لأن المعالج يقبل الطلبات على أنها مصدقة إذا كان
remoteAddress هو عنوان loopback، دون التحقق من صحة رؤوس التوجيه. يمكن استغلال هذه الثغرة عندما يكون OpenClaw Gateway خلف بروكسي عكسي، مثل Tailscale Serve/Funnel أو nginx أو Cloudflare Tunnel أو ngrok. المكون المعرض للخطر هو معالج webhook الخاص بـ BlueBubbles، الذي يقبل الأحداث الواردة عبر نقطة نهاية HTTP POST. ويُستخدم req.socket.remoteAddress للمصادقة.التوصيات
يجب تحديث الإصدارات الأقدم من 2026.2.12 إلى الإصدار 2026.2.12 أو أحدث.
تأكد من تكوين كلمة مرور لـ webhook الخاص بـ BlueBubbles.
لا تكشف عن نقطة نهاية webhook الخاصة بالبوابة للجمهور دون مصادقة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾