PT-2026-33866
CVE-2026-41299
·
تاريخ النشر
2026-03-31
·
تاريخ التحديث
2026-04-27
الوصف من
CVSS 4.0
7.1
عاليةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenClaw السابقة للإصدار 2026.3.28
الوصف
توجد ثغرة لتجاوز عملية المصادقة في طريقة البوابة «chat.send». تحدث هذه المشكلة لأن حقول المنشأ الخاصة بـ ACP فقط يتم التحكم فيها بواسطة بيانات تعريف العميل المعلنة ذاتيًا من عملية مصافحة WebSocket بدلاً من حالة تفويض تم التحقق منها. وهذا يسمح لعملاء المشغلين المصادق عليهم بتزوير علامات هوية ACP وإدخال حقول منشأ محجوزة مخصصة حصريًّا لجسر ACP عن طريق التلاعب ببيانات تعريف العميل أثناء عملية الاتصال.
التوصيات
التحديث إلى الإصدار 2026.3.28.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾