CVE-2026-28481

Orta

Açıklama

OpenClaw 2026.1.30 ve önceki sürümleri, MS Teams ek indiricisinde (isteğe bağlı uzantının etkinleştirilmiş olması gerekir), izin verilen sonek alan adlarına bearer token'ların sızmasına neden olan ve 2026.2.1 sürümünde yamalanan bir bilgi ifşası zafiyeti içermektedir. Uygulama, 401 veya 403 yanıtlarını aldıktan sonra indirmeleri yeniden denerken, geniş kapsamlı sonek tabanlı izin listesiyle eşleşen güvenilmeyen ana bilgisayarlara Authorization bearer token'ları göndererek token hırsızlığına olanak tanımaktadır.

ÖnemOrta

CVSS6.5

İstismar olasılığı—

ÜrünOpenclaw

Yayın5 Mar 2026

İlk görülme5 Mar 2026

Zayıflık türüCWE-201CWE-201

Nasıl düzeltilir

Güncelleyin

openclaw2026.2.1 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/41cc5bcd4f1d434ad1bbdfa55b56f25025ecbf6b

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-7vwx-582j-j332

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v ≤ 2026.1.30	—
openclawnpm	v < 2026.2.1	2026.2.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.