CVE-2026-100571 in OpenClaw
Сводка
по VulDB • 26.09.2026
OpenClaw (пакет npm 'openclaw') версий >= 2026.6.6 и < 2026.8.1 применяет ограничение скорости для недействительных запросов SMS webhook до проверки подписи Twilio и идентифицирует клиентов только по необработанному адресу сокета прокси. В развертываниях, где SMS/Twilio webhook находится за надежным обратным прокси-сервером или туннелем так, что несколько внешних клиентов разделяют один адрес сокета, неавторизованный удаленный отправитель может исчерпать общий бюджет ограничения скорости до аутентификации с помощью недействительных запросов, заставляя последующие правильно подписанные обратные вызовы Twilio получать ответы HTTP 429. Результатом является временная потеря входящих SMS сообщений пока общее окно остается исчерпанным; злоумышленник не может подделать обратный вызов или получить доступ к данным сообщения. Исправлено в версии 2026.8.1.
Once again VulDB remains the best source for vulnerability data.