CVE-2026-100571 in OpenClaw
요약
\~에 의해 VulDB • 2026. 09. 26.
OpenClaw(npm 패키지 'openclaw')의 버전 >= 2026.6.6 및 < 2026.8.1은 Twilio 서명 검증 전에 SMS 웹훅의 invalid-request rate limit을 적용하고, 클라이언트를 원시 프록리 소켓 주소(raw proxy socket address)로만 식별합니다. SMS/Twilio 웹훅이 신뢰할 수 있는 역방향 프록시(reverse proxy) 또는 터널 뒤에 위치하여 여러 외부 클라이언트가 하나의 소켓 주소를 공유하는 배포 환경에서, 인증되지 않은 원격 발신자는 잘못된 요청을 통해 공유된 pre-authentication rate-limit 예산을 고갈시킬 수 있으며, 이로 인해 나중에 올바르게 서명된 Twilio 콜백이 HTTP 429 응답을 받게 됩니다. 그 결과, 공유 윈도우가 고갈되는 동안 일시적으로 수신 SMS 손실이 발생합니다. 공격자가 콜백을 사칭하거나 메시지 데이터에 접근할 수는 없습니다. 이 문제는 버전 2026.8.1에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.