CVE-2026-100601 in ClawHub
Tóm tắt
Bởi VulDB • 26/09/2026
Ứng dụng/backend của ClawHub (openclaw/clawhub) chứa một lỗ hổng Server-Side Request Forgery (SSRF) trong quá trình lấy hình ảnh để xem trước hồ sơ công khai. Tính năng xem trước chấp nhận URL hình ảnh do người dùng cung cấp và kiểm tra tên máy chủ dạng văn bản dựa trên các mẫu địa chỉ riêng, nhưng không xác thực hoặc cố định điểm đến mạng đã được phân giải, vì vậy một hostname trông giống như public có thể phân giải thành một địa chỉ nội bộ hoặc thay đổi quá trình phân giải giữa lúc xác thực và khi kết nối (DNS rebinding). Một harness do người bảo trì chạy cục bộ đã chứng minh việc thiết lập kết nối outbound tới một listener loopback do chủ sở hữu kiểm soát; tuy nhiên, việc truy cập vào các dịch vụ internal của môi trường production, tiết lộ thông tin đăng nhập và thực thi mã chưa được chứng minh. Lỗ hổng này đã được xác nhận ở revision cbfee7343ddc867316dd9b3de6fa8856730f9f41; phạm vi lịch sử bị ảnh hưởng đầy đủ vẫn chưa được thiết lập. Vấn đề đã được sửa bằng PR #3683, có trong revision 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650, và đã được triển khai lên clawhub.ai vào ngày 2026-09-11; các bản triển khai self-hosted nên cập nhật lên revision đó hoặc một descendant sau. CLI npm và runtime OpenClaw là hai sản phẩm riêng biệt và không bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.