CVE-2026-43585

Yüksek

Açıklama

2026.4.15 öncesindeki OpenClaw, başlangıçta çözümlenmiş bearer-auth yapılandırmasını yakalayarak iptal edilen token'ların SecretRef rotasyonundan sonra geçerli kalmasına izin verir. Gateway HTTP ve WebSocket işleyicileri, kimlik doğrulamayı istek başına yeniden çözümlemeyi başaramaz; bu durum saldırganların yetkisiz gateway erişimi için rotasyona uğramış bearer token'larını kullanmalarına olanak tanır.

ÖnemYüksek

CVSS8.1

İstismar olasılığı—

ÜrünOpenclaw

Yayın6 May 2026

İlk görülme6 May 2026

Zayıflık türüCWE-672CWE-672

Nasıl düzeltilir

Güncelleyin

openclaw openclaw2026.4.15 ya da sonraki bir sürüm
openclaw2026.4.15 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/acd4e0a32f12e1ad85f3130f63b42443ce90f094

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-xmxx-7p24-h892

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v < 2026.4.15	2026.4.15
openclawnpm	v < 2026.4.15	2026.4.15

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.