CVE-2026-100601 in ClawHub
요약
\~에 의해 VulDB • 2026. 09. 26.
ClawHub(openclaw/clawhub) 애플리케이션/백엔드에는 공개 프로필 미리보기의 이미지 가져오기 기능에서 서버 사이드 리퀘스트 포지리(SSRF) 취약점이 존재합니다. 미리보기는 사용자가 제공한 이미지 URL을 수락하고 텍스트 호스트명을 사적 주소 패턴과 대조하지만, 해결된 네트워크 목적지에 대한 검증이나 고정(pinning)은 수행하지 않습니다. 따라서 공개적으로 보이는 호스트명이 내부 주소를 가리키거나, 검증 시점과 연결 시점 사이에 DNS 재바인딩(DNS rebinding)으로 인해 해석이 변경될 수 있습니다. 유지보수 담당자가 실행한 로컬 해니스(harness) 테스트에서는 소유주가 제어하는 루프백 리스너로의 아웃바운드 연결이 입증되었습니다. 그러나 프로덕션 내부 서비스에 대한 접근, 자격 증명 유출 및 코드 실행은 시연되지 않았습니다. 이 문제는 수정 cbfee7343ddc867316dd9b3de6fa8856730f9f41에서 확인되었으며, 전체적인 역사적 영향 범위는 확립되지 않았습니다. PR #3683을 통해 해결되었으며, 이는 2026-09-11에 clawhub.ai로 배포된 수정 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650에 포함되었습니다. 자체 호스팅(deployments) 환경은 해당 수정 버전 또는 그 이후의 하위 버전을 업데이트해야 합니다. npm CLI와 OpenClaw 런타임은 별도의 제품이며 영향을 받지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.