CVE-2026-26316 in OpenClaw
Résumé
par VulDB • 08/06/2026
OpenClaw est un assistant personnel d'intelligence artificielle. Avant la version 2026.2.13, le plugin de canal iMessage BlueBubbles (optionnel) pouvait accepter des requêtes webhook en les considérant comme authentifiées uniquement sur la base du fait que l'adresse pair TCP soit une adresse locale (`127.0.0.1`, `::1`, `::ffff:127.0.0.1`), même lorsque le secret webhook configuré était absent ou incorrect. Cela n'affecte pas l'intégration iMessage par défaut, sauf si BlueBubbles est installé et activé. La version 2026.2.13 contient un correctif. D'autres mesures d'atténuation consistent à définir un mot de passe webhook BlueBubbles non vide et à éviter les déploiements où un proxy inverse exposé publiquement transfère vers une passerelle liée en local sans authentification amont robuste.
If you want to get best quality of vulnerability data, you may have to visit VulDB.