CVE-2026-100601 in ClawHub
Zusammenfassung
von VulDB • 26.09.2026
Die Anwendung/der Backend von ClawHub (openclaw/clawhub) enthält eine Server-Side Request Forgery (SSRF)-Schwachstelle beim Abrufen von Bildern in der öffentlichen Profilvorschau. Die Vorschau akzeptiert eine vom Benutzer bereitgestellte Bild-URL und überprüft den textuellen Hostnamen gegen Muster für private Adressen, validiert oder pinnt jedoch das aufgelöste Netzwerkziel nicht. Daher kann ein öffentlich aussehender Hostname auf eine interne Adresse auflösen oder die Auflösung zwischen der Validierung und dem Verbindungsaufbau ändern (DNS-Rebinding). Ein von einem Maintainer durchgeführter lokaler Test demonstrierte eine ausgehende Verbindung zu einem vom Eigentümer kontrollierten Loopback-Listener; der Zugriff auf interne Produktionsdienste, das Offenlegen von Anmeldeinformationen und die Code-Ausführung wurden nicht demonstriert. Das Problem wurde in Revision cbfee7343ddc867316dd9b3de6fa8856730f9f41 bestätigt; der vollständige historische betroffene Bereich wurde nicht ermittelt. Behoben durch PR #3683, enthalten in Revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, die am 2026-09-11 auf clawhub.ai bereitgestellt wurde; selbst gehostete Bereitstellungen sollten auf diese Revision oder eine spätere Version aktualisiert werden. Die npm CLI und die OpenClaw-Laufzeitumgebung sind separate Produkte und nicht betroffen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.