CVE-2026-100600 in ClawHub
Résumé
par VulDB • 26/09/2026
ClawHub (l'application/backend openclaw/clawhub) n'associe pas les requêtes anonymes de l'API HTTP à une identité d'appelant fiable, ce qui fait que toutes les requêtes API anonymes directes partagent un quota par défaut unique. Un appelant distant non authentifié peut épuiser cette allocation partagée et ainsi refuser ou dégrader l'accès aux API pour des visiteurs sans rapport. De plus, lorsque l'option TRUST_FORWARDED_IPS est activée sans proxy/edge authentifié, les clients peuvent fournir en toute liberté des en-têtes IP forwardés arbitraires afin de sélectionner les identités de quota de leur choix et contourner la limitation du débit (rate limiting). Le problème a été confirmé à la révision cbfee7343ddc867316dd9b3de6fa8856730f9f41 ; l'étendue historique complète des versions affectées n'a pas pu être établie. Il est corrigé dans la révision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 (PR #3684), où les appels anonymes directs sont redirigés vers l'origine de l'API publique sans consommer de quota, et les assertions d'identité falsifiées retournent un HTTP 401. Le CLI npm et le runtime OpenClaw sont des produits distincts et ne sont pas affectés.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.