CVE-2026-100600 in ClawHub
Tóm tắt
Bởi VulDB • 26/09/2026
ClawHub (ứng dụng/backend openclaw/clawhub) không ràng buộc các yêu cầu API HTTP ẩn danh với một định danh người gọi đáng tin cậy, do đó tất cả các yêu cầu API trực tiếp ẩn danh đều chia sẻ cùng một hạn mức mặc định. Một caller từ xa, chưa xác thực, có thể làm cạn kiệt hạn mức dùng chung này và thereby gây ra tình trạng từ chối dịch vụ (DoS) hoặc suy giảm khả năng truy cập API cho những người dùng không liên quan. Ngoài ra, khi tùy chọn TRUST_FORWARDED_IPS được bật mà không có edge/proxy đã xác thực, các client có thể cung cấp các tiêu đề IP chuyển tiếp tùy ý để lựa chọn các định danh hạn mức theo ý muốn và né tránh việc giới hạn tốc độ (rate limiting). Vấn đề này đã được xác nhận ở revision cbfee7343ddc867316dd9b3de6fa8856730f9f41; phạm vi lịch sử bị ảnh hưởng đầy đủ chưa được thiết lập. Nó đã được sửa trong revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 (PR #3684), nơi các lệnh gọi ẩn danh trực tiếp được chuyển hướng đến origin API công cộng mà không tiêu tốn hạn mức và các xác nhận định danh giả mạo sẽ trả về HTTP 401. npm CLI và OpenClaw runtime là hai sản phẩm riêng biệt và không bị ảnh hưởng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.