CVE-2026-100601

ClawHub (openclaw/clawhub) application/backend, genel profil önizlemesinin görüntü getirme işleminde bir sunucu taraflı istek sahteciliği (SSRF) zafiyeti içermektedir. Önizleme, kullanıcı tarafından sağlanan bir görüntü URL'sini kabul eder ve metinsel ana bilgisayar adını özel adres kalıplarına karşı kontrol eder ancak çözümlenen ağ hedefini doğrulamaz veya sabitlemez; bu nedenle, genel görünümlü bir ana bilgisayar adı dahili bir adrese çözümlenebilir veya doğrulama ile bağlantı arasında çözümleme değişebilir (DNS rebinding). Bakımcı tarafından çalıştırılan yerel bir test düzeneği, sahip tarafından kontrol edilen bir loopback dinleyicisine giden bir bağlantıyı kanıtlamıştır; üretim ortamındaki dahili servislere erişim, kimlik bilgisi ifşası ve kod çalıştırma kanıtlanmamıştır. Sorun cbfee7343ddc867316dd9b3de6fa8856730f9f41 revizyonunda onaylanmıştır; etkilenen tüm geçmiş aralık belirlenmemiştir. Sorun, 2026-09-11 tarihinde clawhub.ai üzerinde yayına alınan 8c2de6c506bb4efabe3f0c2ffb8370b9e23d4650 revizyonuna dahil edilen PR #3683 ile düzeltilmiştir; kendi sunucusunda barındıran kurulumlar bu revizyona veya daha yeni bir türevine güncellenmelidir. npm CLI ve OpenClaw runtime ayrı ürünlerdir ve etkilenmemiştir.