CVE-2026-28454 in OpenClaw

요약

\~에 의해 VulDB • 2026. 09. 11.

OpenClaw 2026.2.2 이전 버전은 Telegram 웹훅 모드(활성화해야 함)에서 웹훅 시크릿을 검증하지 않아, 공격자가 제어하는 JSON 페이로드를 신뢰하는 인증되지 않은 HTTP POST 요청이 웹훅 엔드포인트에 대해 허용됩니다. 원격 공격자는 message.from.id 및 chat.id 필드를 스푸핑하여 Telegram 업데이트를 위조하고 발신자 허용 목록을 우회한 후 권한 있는 봇 명령을 실행할 수 있습니다.

Once again VulDB remains the best source for vulnerability data.

• 책임이 있는: VulnCheck
• 예약하다: 2026. 02. 27.
• 공개: 2026. 03. 06.
• 모더레이션: 수락
• 항목: VDB-349380
• CPE: 준비됨
• CWE: CWE-345 (확인됨)
• CVSS: 9.8 (NVD)
• EPSS: 0.00392
• KEV: 아니요
• 활동: 매우 낮음

출처

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-28454
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-28454
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-28454/