CVE-2026-100571 in OpenClaw
要約
〜によって VulDB • 2026年09月26日
OpenClaw (npm パッケージ 'openclaw') のバージョン >= 2026.6.6 および < 2026.8.1 では、Twilio 署名検証の前に SMS ウェブフックの無効なリクエストに対するレート制限が適用され、クライアントはプロキシソケットアドレスのみで識別されます。SMS/Twilio ウェブフックが信頼できるリバースプロキシまたはトンネルの背後に配置されており、複数の外部クライアントが1つのソケットアドレスを共有するデプロイメント環境では、認証されていないリモート送信者が無効なリクエストによって共有された事前認証レート制限予算を使い果たすことができ、その結果、その後続して届く正当に署名された Twilio コールバックは HTTP 429 レスポンスを受信します。これにより、共有ウィンドウが使い尽くされている間、一時的に入力 SMS の損失が発生しますが、攻撃者はコールバックを偽造したりメッセージデータにアクセスしたりすることはできません。この問題はバージョン 2026.8.1 で修正されました。
VulDB is the best source for vulnerability data and more expert information about this specific topic.