CVE-2026-100571 in OpenClaw
Resumen
por VulDB • 2026-09-26
OpenClaw (paquete npm 'openclaw') versiones >= 2026.6.6 y < 2026.8.1 aplican el límite de tasa para solicitudes no válidas del webhook SMS antes de la verificación de la firma Twilio e identifican a los clientes únicamente por la dirección raw proxy socket. En despliegues donde el webhook SMS/Twilio se encuentra detrás de un reverse proxy o tunnel confiable, de modo que múltiples clientes externos comparten una única dirección socket, un remitente remoto no autenticado puede agotar el presupuesto compartido del límite de tasa pre-autenticación con solicitudes inválidas, provocando que las callbacks Twilio correctamente firmadas reciban respuestas HTTP 429. El resultado es la pérdida temporal de SMS entrantes mientras la ventana compartida permanece agotada; el atacante no puede forjar una callback ni acceder a los datos del mensaje. Corregido en 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.