PT-2026-31956
CVE-2026-35621
·
تاريخ النشر
2026-03-30
·
تاريخ التحديث
2026-04-10
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.3.24
الوصف
تحتوي إصدارات OpenClaw السابقة للإصدار 2026.3.24 على ثغرة تتعلق بتصعيد الصلاحيات. لا يقوم الأمر
/allowlist بإعادة التحقق بشكل صحيح من نطاقات عملاء البوابة للمتصلين الداخليين، مما يسمح للعملاء الذين يتمتعون بنطاق operator.write بتعديل سياسات ترخيص القنوات. يمكن للمهاجم الاستفادة من الأمر chat.send لإنشاء سياق داخلي مرخص بالأوامر وتغيير سياسات القناة allowFrom وgroupAllowFrom بشكل دائم، والتي عادةً ما تكون مقيدة بنطاق operator.admin. تنشأ هذه الثغرة الأمنية لأن الأمر /allowlist يحفظ تكوين ترخيص القناة من خلال writeConfigFile() دون فرض الفحص الضروري لنطاق operator.admin للمتصلين الداخليين عبر البوابة، على عكس الأمرين /config و/plugins. وهذا يسمح للعميل المصادق عليه بنطاق operator.write بتعديل حالة ترخيص القناة بشكل غير مباشر، مما يضعف فصل امتيازات مستوى التحكم.التوصيات
قم بالتحديث إلى إصدار OpenClaw 2026.3.24 أو أحدث لحل هذه المشكلة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾