CVE-2026-100571 in OpenClaw
Sumário
de VulDB • 26/09/2026
OpenClaw (pacote npm 'openclaw') nas versões >= 2026.6.6 e < 2026.8.1 aplica o limite de taxa para requisições inválidas do webhook SMS antes da verificação da assinatura Twilio e identifica os clientes apenas pelo endereço bruto do soquete proxy. Em implantações onde o webhook SMS/Twilio está atrás de um reverse proxy ou túnel confiável, fazendo com que vários clientes externos compartilhem um único endereço de soquete, um remetente remoto não autenticado pode esgotar a cota compartilhada de limite de taxa pré-autenticação com requisições inválidas, causando que callbacks Twilio corretamente assinados subsequentes recebam respostas HTTP 429. O resultado é uma perda temporária de SMS entrantes enquanto a janela compartilhada permanece exaurida; o atacante não pode forjar um callback ou acessar os dados da mensagem. Corrigido na versão 2026.8.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.