CVE-2026-100601

ClawHub (openclaw/clawhub) tətbiqinin backend hissəsində ictimai profil önizləməsində şəkillərin əldə edilməsi zamanı server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi aşkar edilmişdir. Önizləmə istifadəçi tərəfindən təmin edilən şəkil URL-ni qəbul edir və mətn formasındakı host adını şəxsi ünvan şablonlarına qarşı yoxlayır, lakin həll olunmuş şəbəkə təyinatını təsdiqləmir və ya sabitləmir; buna görə də ictimai görünüşlü bir host adı daxili ünvana yönləndirilə bilər və ya yoxlama ilə qoşulma arasında yönləndirmə dəyişə bilər (DNS rebinding). Baxımçı tərəfindən idarə olunan lokal sınaq mühiti sahibinin nəzarətində olan loopback dinləyicisinə çıxan bağlantını nümayiş etdirmişdir; istehsalatdakı daxili xidmətlərə giriş, etibarnamələrin ifşası və kodun icrası nümayiş etdirilməmişdir. Problem cbfee7343ddc867316dd9b3de6fa8856730f9f41 reviziyasında təsdiqlənmişdir; təsirə məruz qalan tam tarixçə aralığı müəyyən edilməmişdir. Problem PR #3683 vasitəsilə düzəldilmiş və 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 reviziyasına daxil edilərək 2026-09-11 tarixində clawhub.ai saytında tətbiq edilmişdir; öz serverlərində quraşdıranlar bu reviziyaya və ya daha sonrakı versiyalara yeniləməlidir. npm CLI və OpenClaw runtime ayrı məhsullardır və bu problemdən təsirlənməyiblər.