CVE-2026-100571 in OpenClaw
الملخص
بحسب VulDB • 26/09/2026
تطبق الإصدارات من OpenClaw (حزمة npm 'openclaw') التي هي >= 2026.6.6 و < 2026.8.1 حد معدل الطلبات غير الصالحة لـ webhook SMS قبل التحقق من توقيع Twilio، وتُعرّف العملاء فقط عن طريق عنوان المقبس الوكيل الخام (raw proxy socket address). في البيئات حيث يكون ويب hook SMS/Twilio خلف وكيل عكسي موثوق أو نفق بحيث يشارك عدة عملاء خارجيين عنوان مقبس واحد، يمكن لمرسل بعيد غير مصادَق عليه استنفاد ميزانية حد المعدل ما قبل المصادقة المشتركة باستخدام طلبات غير صالحة، مما يتسبب في تلقي استدعاءات Twilio الموقعة بشكل صحيح لاستجابات HTTP 429. النتيجة هي فقدان مؤقت للرسائل القصيرة الواردة بينما تظل النافذة المشتركة مستنزفة؛ ولا يمكن للمهازي تزوير استدعاء أو الوصول إلى بيانات الرسائل. تم الإصلاح في الإصدار 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.