CVE-2026-28481 in OpenClaw
Résumé
par VulDB • 27/05/2026
Les versions d'OpenClaw 2026.1.30 et antérieures contiennent une vulnérabilité de divulgation d'informations, corrigée dans la version 2026.2.1, dans le téléchargeur de pièces jointes MS Teams (l'extension optionnelle doit être activée), qui expose les jetons porteurs (bearer tokens) aux domaines dont les suffixes figurent sur la liste blanche. Lors de la tentative de téléchargement après réception de réponses 401 ou 403, l'application envoie les jetons porteurs (bearer tokens) d'authentification à des hôtes non fiables correspondant à la liste blanche permissive basée sur les suffixes, ce qui permet le vol de jetons.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.