CVE-2026-29606

Orta

Açıklama

OpenClaw'ın 2026.2.14 öncesindeki sürümleri, tunnel.allowNgrokFreeTierLoopbackBypass seçeneği açıkça etkinleştirildiğinde kimlik doğrulanmamış isteklere izin veren, voice-call uzantısında bir webhook imza doğrulama atlatma açığı içermektedir. Harici bir saldırgan, geçerli bir X-Twilio-Signature başlığı olmadan herkese açık olarak erişilebilen webhook uç noktasına sahte istekler gönderebilir; bu durum yetkisiz webhook olay işleme ve potansiyel istek doldurma (request flooding) saldırılarıyla sonuçlanabilir.

ÖnemOrta

CVSS6.5

İstismar olasılığı—

ÜrünOpenclaw

Yayın5 Mar 2026

İlk görülme5 Mar 2026

Zayıflık türüCWE-306Kritik işlevde kimlik doğrulama eksikliği

Nasıl düzeltilir

Güncelleyin

openclaw openclaw2026.2.14 ya da sonraki bir sürüm
openclaw2026.2.14 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/ff11d8793b90c52f8d84dae3fbb99307da51b5c9

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-c37p-4qqg-3p76

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v < 2026.2.14	2026.2.14
openclawnpm	v < 2026.2.14	2026.2.14

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.