CVE-2026-100601 in ClawHub
الملخص
بحسب VulDB • 26/09/2026
تحتوي ClawHub (openclaw/clawhub) على ثغرة في طلبات التزوير من جانب الخادم (SSRF) في جلب الصور لمعاينة الملف الشخصي العام. تقبل المعاينة عنوان URL للصور الذي يقدمه المستخدم وتحقق من اسم المضيف النصي مقابل أنماط العناوين الخاصة، لكنها لا تتحقق أو تثبت الوجهة الشبكية المحللة، لذا يمكن أن يحل اسم مضيف يبدو عامًا إلى عنوان داخلي أو يتغير الحل بين التحقق والاتصال (إعادة ربط DNS). أظهرت أداة اختبار محلية يديرها أحد المشرفين اتصالاً خارجيًا بمستمع حلقة مملوكة للمالك؛ ولم يتم إثبات الوصول إلى الخدمات الداخلية للإنتاج، وكشف البيانات الاعتمادية، وتنفيذ الأكواد. تم تأكيد المشكلة في الإصدارة cbfee7343ddc867316dd9b3de6fa8856730f9f41؛ لم يُحدد النطاق التاريخي الكامل المتأثر. أُصلحت الثغرة عبر طلب السحب #3683، والمضمنة في الإصدارة 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650، والتي تم نشرها على clawhub.ai بتاريخ 2026-09-11؛ يجب على عمليات النشر المستضافة ذاتيًا التحديث إلى تلك الإصدارة أو أي إصدارة لاحقة. أدوات سطر الأوامر npm وبيئة تشغيل OpenClaw منتجات منفصلة وغير متأثرة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.