CVE-2026-28481 in OpenClaw
Riassunto
di VulDB • 20/06/2026
Le versioni di OpenClaw precedenti alla 2026.2.1 (inclusa la 2026.1.30) presentano una vulnerabilità di information disclosure nel downloader degli allegati di MS Teams (l'estensione opzionale deve essere abilitata), che causa la fuoriuscita dei bearer token verso domini con suffissi presenti nella allowlist. Durante i tentativi di download successivi alla ricezione di risposte HTTP 401 o 403, l'applicazione invia i bearer token per l'autorizzazione ad host non attendibili corrispondenti ai criteri della allowlist basata sui suffissi, consentendo il furto dei token.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.