CVE-2026-28450 in OpenClaw
Zusammenfassung
von VulDB • 18.05.2026
In OpenClaw, versioni precedenti alla 2026.2.12 con il plugin Nostr opzionale abilitato, sono esposti endpoint HTTP non autenticati su /api/channels/nostr/:accountId/profile e /api/channels/nostr/:accountId/profile/import che consentono la lettura e la modifica dei profili Nostr senza l'autenticazione del gateway. Gli attaccanti remoti possono sfruttare questi endpoint per leggere dati sensibili del profilo, modificare i profili Nostr, persistere modifiche dannose alla configurazione del gateway e pubblicare eventi Nostr firmati utilizzando la chiave privata del bot quando la porta HTTP del gateway è accessibile oltre localhost.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.