CVE-2026-26322

OpenClaw şəxsi süni intellekt köməkçisidir. OpenClaw versiya 2026.2.14-dən əvvəl, Gateway aləti kifayət qədər məhdudiyyətlər olmadan alət tərəfindən təmin edilən `gatewayUrl`-i qəbul edirdi ki, bu da OpenClaw hostunun istifadəçi tərəfindən müəyyən edilmiş hədəflərə çıxan WebSocket bağlantıları qurmağa cəhd etməsinə səbəb ola bilərdi. Bu, `gatewayUrl` dəyişikliklərini qəbul edən alətləri çağırmaq imkanını (birbaşa və ya dolayısı ilə) tələb edir. Tipik quraşdırmalarda bu, autentifikasiya olunmuş operatorlar, etibarlı avtomatlaşdırma və ya alət çağırışlarının operator olmayanlara açıq olduğu mühitlərlə məhdudlaşdırılır. Başqa sözlə, əgər tətbiq etmə prosesi etibarsız istifadəçilərə bu alət çağırışlarını tetikləməyə açıq şəkildə icazə vermirsə, bu, təsadüfi internet istifadəçiləri üçün kritik bir problem deyil. Bəzi alət çağırışı yolları `gatewayUrl` dəyişikliklərinin doğrulama və ya ağ siyahı (allowlist) olmadan Gateway WebSocket kliyentinə ötürülməsinə icazə verirdi. Bu o demək idi ki, hosta gateway olmayan son nöqtələrinə (məsələn, localhost xidmətlərinə, şəxsi şəbəkə ünvanlarına və ya bulud metadata IP-lərinə) bağlantılar qurmaq tapşırıla bilərdi. Ümumi halda, bu, OpenClaw hostundan çıxan bağlantı cəhdi ilə (və müvafiq xətalar/vaxt aşımı ilə) nəticələnir. Alət çağiranın nəticələri müşahidə edə bildiyi mühitlərdə, bu, həmçinin məhdud şəbəkə əlçatanlığının yoxlanılması (probing) üçün istifadə edilə bilər. Əgər hədəf WebSocket protokolunu dəstəkləyirsə və əlçatandırsa, daha geniş qarşılıqlı əlaqə mümkün ola bilər. Versiya 2026.2.14-dən başlayaraq, alət tərəfindən təmin edilən `gatewayUrl` dəyişiklikləri loopback (konfiqurasiya edilmiş gateway portunda) və ya konfiqurasiya edilmiş `gateway.remote.url` ilə məhdudlaşdırılmışdır. İcazə verilməyən protokollar, kimlik məlumatları, sorğu/heş və root olmayan yollar rədd edilir.