CVE-2026-100600

ClawHub (openclaw/clawhub uygulaması/arka ucu), anonim HTTP API isteklerini güvenilir bir çağırıcı kimliğine bağlamaz, bu nedenle tüm doğrudan anonim API istekleri tek bir varsayılan kota iznini paylaşır. Uzaktaki, kimliği doğrulanmamış bir çağırıcı, bu paylaşılan izni tüketebilir ve böylece ilgisiz ziyaretçiler için API erişimini engelleyebilir veya performansını düşürebilir. Ek olarak, TRUST_FORWARDED_IPS seçeneği kimliği doğrulanmış bir kenar/vekil sunucu olmadan etkinleştirildiğinde, istemciler kendi seçtikleri kota kimliklerini belirlemek ve hız sınırlamasını atlatmak için rastgele iletilen IP başlıkları sağlayabilirler. Sorun cbfee7343ddc867316dd9b3de6fa8856730f9f41 revizyonunda onaylanmıştır; etkilenen tam geçmiş aralık belirlenememiştir. Doğrudan anonim çağrıların kota tüketmeden genel API kaynağına yönlendirildiği ve sahte kimlik beyanlarının HTTP 401 döndürdüğü 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 revizyonunda (PR #3684) düzeltilmiştir. npm CLI ve OpenClaw çalışma zamanı ayrı ürünlerdir ve etkilenmemiştir.