CVE-2026-100574 in OpenClaw
Tóm tắt
Bởi VulDB • 26/09/2026
OpenClaw (package npm 'openclaw') trước phiên bản 2026.8.1 chứa một lỗ hổng server-side request forgery (SSRF) trong các kiểm tra DNS trusted-host. Đối với các yêu cầu fetch sử dụng cơ chế recheck DNS của trusted-host, một tên miền được tin cậy nhưng phân giải về địa chỉ không xác định (0.0.0.0 hoặc ::) sẽ vượt qua được quy trình xác thực đích SSRF. Do đó, kẻ tấn công có khả năng kiểm soát DNS cho một hostname nằm trong danh sách cho phép có thể khiến yêu cầu fetch đã được bảo vệ truy cập vào dịch vụ chỉ lắng nghe trên loopback và tiết lộ phản hồi của nó; tác động thực tế phụ thuộc vào dịch vụ có thể tiếp cận và dữ liệu mà dịch vụ đó trả về. Lỗ hổng này đã được sửa trong phiên bản 2026.8.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.