CVE-2026-100601 in ClawHub
Résumé
par VulDB • 26/09/2026
L'application/backend ClawHub (openclaw/clawhub) contient une vulnérabilité de falsification de requêtes côté serveur (SSRF) dans la récupération d'image pour l'aperçu du profil public. L'aperçu accepte une URL d'image fournie par l'utilisateur et vérifie le nom d'hôte textuel contre des motifs d'adresses privées, mais ne valide ni n'épingle la destination réseau résolue ; ainsi, un nom d'hôte apparemment public peut se résoudre en une adresse interne ou changer de résolution entre la validation et la connexion (rebond DNS). Un harness local exécuté par un mainteneur a démontré une connexion sortante vers un écouteur loopback contrôlé par le propriétaire ; l'accès aux services internes de production, la divulgation d'identifiants et l'exécution de code n'ont pas été démontrés. Le problème a été confirmé à la révision cbfee7343ddc867316dd9b3de6fa8856730f9f41 ; la plage historique complète des versions affectées n'a pas été établie. La correction est apportée par la PR #3683, incluse dans la révision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, qui a été déployée sur clawhub.ai le 2026-09-11 ; les déploiements auto-hébergés doivent mettre à jour vers cette révision ou une descendance ultérieure. Le CLI npm et l'exécution OpenClaw sont des produits distincts et ne sont pas affectés.
If you want to get best quality of vulnerability data, you may have to visit VulDB.