CVE-2026-26319
Təsvir
OpenClaw şəxsi süni intellekt köməkçisidir. 2026.2.13 və daha aşağı versiyalarda opsional @openclaw/voice-call plagininin Telnyx webhook idarəedicisi, telnyx.publicKey konfiqurasiya edilmədikdə imzalanmamış daxil olan webhook sorğularını qəbul etməyə imkan verir ki, bu da autentifikasiya olunmamış zəng edənlərə saxta Telnyx hadisələri yaratmağa şərait yaradır. Gözlənilir ki, Telnyx webhook-ları Ed25519 imza yoxlaması vasitəsilə autentifikasiya edilsin. Təsirə məruz qalan versiyalarda, heç bir Telnyx ictimai açarı konfiqurasiya edilmədikdə TelnyxProvider.verifyWebhook() funksiyası effektiv şəkildə "fail open" rejimində işləyə bilər və bu, voice-call webhook son nöqtəsinə göndərilən ixtiyari HTTP POST sorğularının legitim Telnyx hadisələri kimi qəbul edilməsinə yol açır. Bu problem yalnız Voice Call plagiinin quraşdırıldığı, aktivləşdirildiyi və webhook son nöqtəsinin hücumçu tərəfindən əlçatan olduğu (məsələn, tunel/proksi vasitəsilə açıq şəkildə təqdim edildiyi) sistemlərə təsir göstərir. Problem 2026.2.14 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openclaw openclaw2026.2.14 və ya daha yeni versiya
- openclaw2026.2.14 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openclaw openclaw | v < 2026.2.14 | 2026.2.14 |
| openclawnpm | v < 2026.2.14 | 2026.2.14 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.