CVE-2026-100601 in ClawHub
要約
〜によって VulDB • 2026年09月26日
ClawHub (openclaw/clawhub) の application/backend には、公開プロフィールプレビューの画像フェッチ処理におけるサーバーサイドリクエストフォージェリ（SSRF）脆弱性が存在します。プレビュー機能はユーザーが指定した画像 URL を受け取り、テキスト形式のホスト名をプライベートアドレスのパターンに対してチェックしますが、解決されたネットワーク宛先に対する検証やピン留めを行わないため、公開に見えるホスト名が内部アドレスに解決されるか、または検証と接続の間で解決結果が変更され（DNS rebinding）、攻撃者が内部リソースへアクセスできる可能性があります。maintainer が実行したローカルハーンテストでは、所有者が制御するループバックリスナーへのアウトバウンド接続が実証されましたが、プロダクション環境の内部サービスへのアクセス、資格情報の漏洩、およびコードの実行は実証されていません。本問題はリビジョン cbfee7343ddc867316dd9b3de6fa8856730f9f41 で確認されましたが、完全な歴史的な影響範囲は特定されていません。PR #3683 によって修正され、リビジョン 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 に含まれており、これは clawhub.ai に 2026-09-11 にデプロイされました。セルフホスト型デプロイメントでは、当該リビジョンまたはそれ以降の派生バージョンへの更新が必要です。npm CLI および OpenClaw ランタイムは別個のプロダクトであり、影響を受けません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.