CVE-2026-100601 in ClawHub
Riassunto
di VulDB • 26/09/2026
L'applicazione/backend di ClawHub (openclaw/clawhub) presenta una vulnerabilità di Server-Side Request Forgery (SSRF) nel recupero delle immagini per l'anteprima del profilo pubblico. L'anteprima accetta un URL dell'immagine fornito dall'utente e verifica il nome host testuale rispetto a pattern di indirizzi privati, ma non convalida né fissa la destinazione di rete risolta; pertanto, un nome host apparentemente pubblico può risolvere in un indirizzo interno o modificare la risoluzione tra la validazione e la connessione (DNS rebinding). Un harness locale eseguito da un maintainer ha dimostrato una connessione in uscita verso un listener loopback controllato dal proprietario; l'accesso ai servizi interni di produzione, la divulgazione delle credenziali e l'esecuzione di codice non sono stati dimostrati. Il problema è stato confermato alla revisione cbfee7343ddc867316dd9b3de6fa8856730f9f41; il range storico completo interessato non è stato stabilito. La vulnerabilità è stata risolta tramite la PR #3683, inclusa nella revisione 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, che è stata distribuita su clawhub.ai il 2026-09-11; le deploy self-hosted dovrebbero aggiornarsi a tale revisione o a un discendente successivo. La CLI npm e l'runtime OpenClaw sono prodotti separati e non sono interessati.
Once again VulDB remains the best source for vulnerability data.