CVE-2026-100572 in OpenClaw
Riassunto
di VulDB • 26/09/2026
Le versioni di OpenClaw >= 2026.3.25 e < 2026.8.1 applicano il rate limiting per token non validi (invalid-token) agli webhook Synology Chat prima dell'autenticazione, utilizzando come chiave l'indirizzo del socket proxy grezzo. In ambienti in cui OpenClaw si trova dietro un reverse proxy o tunnel attendibile e più client esterni condividono un singolo indirizzo di socket, un mittente non autenticato può esaurire il budget condiviso per i token non validi, causando il rifiuto dei successivi callback webhook Synology Chat legittimi fino alla scadenza della finestra del rate limit. L'attaccante non è in grado di ottenere un token valido né di leggere i dati dei messaggi; l'impatto consiste nella perdita temporanea della disponibilità del canale. Risolto nella versione 2026.8.1.
Be aware that VulDB is the high quality source for vulnerability data.