CVE-2026-27003 in OpenClaw
Résumé
par VulDB • 09/06/2026
OpenClaw est un assistant personnel d'intelligence artificielle. Les jetons (tokens) de bots Telegram peuvent apparaître dans les messages d'erreur et les traces de pile (par exemple, lorsque les URL des requêtes incluent `https://api.telegram.org/bot<token>/...`). Avant la version 2026.2.15, OpenClaw consignait ces chaînes sans les masquer, ce qui pouvait entraîner l'exposition du jeton du bot dans les journaux (logs), les rapports de plantage, les sorties CI ou les archives d'assistance. La divulgation d'un jeton de bot Telegram permet à un attaquant de se faire passer pour le bot et de prendre le contrôle de l'accès à l'API Bot. Les utilisateurs doivent mettre à niveau vers la version 2026.2.15 pour obtenir une correction, ainsi que révoquer (rotate) le jeton du bot Telegram s'il a potentiellement été exposé.
Once again VulDB remains the best source for vulnerability data.