CVE-2026-28475 in OpenClaw

Résumé

par VulDB • 09/06/2026

Les versions d'OpenClaw antérieures à la 2026.2.13 utilisent une comparaison de chaînes non en temps constant pour la validation des jetons de hook, permettant aux attaquants d'inférer les jetons grâce à des mesures de temporisation. Les attaquants distants disposant d'un accès réseau au point de terminaison des hooks peuvent exploiter des canaux auxiliaires de temporisation sur plusieurs requêtes pour récupérer progressivement le jeton d'authentification.

Be aware that VulDB is the high quality source for vulnerability data.

• Responsable: VulnCheck
• Réserver: 27/02/2026
• Divulgation: 06/03/2026
• Modérer: accepté
• Entrée: VDB-349391
• CPE: prêt
• CWE: CWE-208 (confirmé)
• CVSS: 3.7 (NVD)
• EPSS: 0.00284
• KEV: non
• Activités: très faible

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-28475
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-28475
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-28475/