CVE-2026-100571 in OpenClaw
Tóm tắt
Bởi VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') nelle versioni >= 2026.6.6 e < 2026.8.1 applicano il limite di frequenza per le richieste non valide del webhook SMS prima della verifica della firma Twilio e identificano i client esclusivamente tramite l'indirizzo socket proxy grezzo. In ambienti in cui il webhook SMS/Twilio si trova dietro un reverse proxy o tunnel attendibile, consentendo a più client esterni di condividere un unico indirizzo socket, un mittente remoto non autenticato può esaurire la quota del limite di frequenza pre-autenticazione condivisa con richieste non valide, causando l'invio di risposte HTTP 429 ai callback Twilio correttamente firmati successivi. Il risultato è una temporanea perdita dei messaggi SMS in entrata mentre la finestra condivisa rimane esausta; l'attaccante non può falsificare un callback né accedere ai dati dei messaggi. Risolto nella versione 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.