PT-2026-26390
CVE-2026-32008
·
تاريخ النشر
2026-03-03
·
تاريخ التحديث
2026-03-20
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.2.21
الوصف
يحتوي البرنامج على مشكلة تتعلق بالتحقق غير الصحيح من صحة مخطط عناوين URL في الدالة
assertBrowserNavigationAllowed(). يمكن للمستخدمين المصادق عليهم الذين يتمتعون بإمكانية الوصول إلى أدوات المتصفح الانتقال إلى عناوين URL من نوع file://، مما قد يسمح للمهاجمين بالوصول إلى الملفات المحلية التي يمكن لمستخدم عملية OpenClaw قراءتها من خلال إجراءات التقاط لقطة للمتصفح واستخراج البيانات، مما يؤدي إلى تسريب البيانات الحساسة. يوجد المكون المعرض للخطر في src/browser/navigation-guard.ts. تنشأ المشكلة لأن الدالة assertBrowserNavigationAllowed() كانت تتحقق فقط من صحة أهداف الشبكة التي تبدأ بـ http: وhttps:، مما يسمح ضمناً بأنظمة أخرى. يمكن للمهاجم الذي يمتلك بيانات اعتماد بوابة صالحة ووصولاً إلى أداة المتصفح أن يسرب الملفات المحلية التي يمكن لمستخدم عملية OpenClaw قراءتها.التوصيات
يجب تحديث إصدارات OpenClaw الأقدم من 2026.2.21 إلى الإصدار 2026.2.21 أو أحدث. يجب رفض أنظمة التنقل غير المدعومة والسماح فقط بعناوين URL غير الشبكية الآمنة بشكل صريح. يقوم OpenClaw الآن بحظر الأنظمة غير الشبكية (مثل
file: وdata: وjavascript:) مع الحفاظ على about:blank. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾