CVE-2026-25157
Təsvir
OpenClaw şəxsi süni intellekt köməkçisidir. Versiya 2026.1.29-a qədər olan versiyalarda, sshNodeCommand daxilindəki Project Root Path vasitəsilə ƏMƏLİ sistem əmrinin inyeksiyası zəifliyi mövcuddur. sshNodeCommand funksiyası, xəta mesajında istifadəçi tərəfindən təmin edilən layihə yolunu düzgün şəkildə escape etmədən shell skripti hazırlayırdı. cd əmri uğursuz olduqda, escape edilməmiş yol birbaşa echo ifadəsinə daxil edilir və bu da uzaqdakı SSH hostunda ixtiyari əmrlərin icrasına imkan verirdi. parseSSHTarget funksiyası SSH hədəf sətirlərinin tire (-) işarəsi ilə başlaya bilməyəcəyini yoxlamırdı. Hücumçu tərəfindən təqdim edilən -oProxyCommand=... kimi hədəf, host adı kimi deyil, SSH konfiqurasiya bayrağı kimi şərh olunurdu və bu da lokal maşında ixtiyari əmrlərin icrasına imkan verirdi. Bu problem 2026.1.29 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openclaw openclaw2026.1.29 və ya daha yeni versiya
- clawdbot2026.1.29 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openclaw openclaw | v < 2026.1.29 | 2026.1.29 |
| clawdbotnpm | v < 2026.1.29 | 2026.1.29 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.