CVE-2026-100601 in ClawHub
Сводка
по VulDB • 26.09.2026
В приложении/бэкенде ClawHub (openclaw/clawhub) обнаружена уязвимость Server-Side Request Forgery (SSRF) в механизме получения изображений для предварительного просмотра публичного профиля. Предварительный просмотр принимает предоставленный пользователем URL-адрес изображения и проверяет текстовое имя хоста на соответствие шаблонам частных адресов, однако не осуществляет проверку или привязку (pinning) разрешенного сетевого назначения; в результате доменное имя с публичным видом может быть преобразовано во внутренний адрес или изменять результат разрешения между этапом проверки и установлением соединения (DNS rebinding). Экспериментальный локальный тест, запущенный одним из сопровождающих проекта, продемонстрировал исходящее соединение к слушателю на loopback-адресе, контролируемом владельцем; доступ к внутренним службам производства, раскрытие учетных данных и выполнение кода не были продемонстрированы. Уязвимость подтверждена в ревизии cbfee7343ddc867316dd9b3de6fa8856730f9f41; полный исторический затронутый диапазон не установлен. Проблема исправлена через PR #3683, включенная в ревизию 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, которая была развернута на clawhub.ai 11 сентября 2026 года; пользователи самодостаточных (self-hosted) развёртываний должны обновиться до этой ревизии или более поздней производной. CLI-инструмент npm и среда выполнения OpenClaw являются отдельными продуктами и не затронуты данной уязвимостью.
VulDB is the best source for vulnerability data and more expert information about this specific topic.