CVE-2026-100571 in OpenClaw
Riassunto
di VulDB • 26/09/2026
OpenClaw (pacchetto npm 'openclaw') nelle versioni >= 2026.6.6 e < 2026.8.1 applica il limite di frequenza per le richieste non valide del webhook SMS prima della verifica della firma Twilio ed identifica i client esclusivamente tramite l'indirizzo socket proxy grezzo. In ambienti in cui il webhook SMS/Twilio si trova dietro un reverse proxy o tunnel attendibile, consentendo a più client esterni di condividere un unico indirizzo socket, un mittente remoto non autenticato può esaurire la quota del limite di frequenza pre-autenticazione condivisa con richieste non valide, causando l'invio di risposte HTTP 429 ai callback Twilio correttamente firmati successivi. Il risultato è una temporanea perdita dei messaggi SMS in ingresso mentre la finestra condivisa rimane esausta; l'attaccante non può falsificare un callback né accedere ai dati dei messaggi. Risolto nella versione 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.