PT-2026-31955
CVE-2026-35620
·
تاريخ النشر
2026-03-30
·
تاريخ التحديث
2026-04-10
الوصف من
CVSS 3.1
6.5
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.3.24
الوصف
تحتوي إصدارات OpenClaw السابقة للإصدار 2026.3.24 على ثغرات في عمليات التحقق من التفويض في معالجات أوامر الدردشة
/send و/allowlist. يسمح الأمر /send للمرسلين غير المالكين والمصرح لهم باستخدام الأوامر بتعديل إعدادات سياسة التسليم الخاصة بالجلسة المخصصة للمالك فقط. تفشل أوامر التغيير /allowlist في فرض نطاق operator.admin. يمكن للمهاجمين الذين يمتلكون نطاق operator.write استخدام الأمر /send on|off|inherit لتغيير sendPolicy للجلسة الحالية بشكل دائم، واستخدام الأمر /allowlist add لتعديل إدخالات قائمة السماح دون الحصول على التفويض المناسب.التوصيات
قم بالتحديث إلى إصدار OpenClaw 2026.3.24 أو أحدث. كإجراء تصحيحي، قم بتغيير الأمر
/send بحيث يتطلب صفة المالك بدلاً من مجرد التفويض بالأمر. أعد استخدام نمط الرفض المخصص للمالك فقط الذي تستخدمه واجهات الأوامر المميزة الأخرى مثل /config و/debug. أضف تغطية الانحدار لضمان رفض الأمر /send للمرسلين غير المالكين، حتى لو كانوا مفوضين بالأمر. تحقق من أن المالكين لا يزالون قادرين على استخدام الأمر /send بشكل طبيعي.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾