CVE-2026-44118

Yüksek

Açıklama

2026.4.22 öncesindeki OpenClaw, loopback MCP sahibi bağlamını istek başlıklarındaki taklit edilebilir sunucu tarafından verilen taşıyıcı belirteçlerden türetmektedir. Sahip olmayan loopback istemcileri, gönderici-sahibi başlık meta verilerini manipüle ederek kendilerini sahip olarak tanıtabilir ve sahip kısıtlamalı işlemleri atlayabilir.

ÖnemYüksek

CVSS7.8

İstismar olasılığı—

ÜrünOpenclaw

Yayın6 May 2026

İlk görülme6 May 2026

Zayıflık türüCWE-290CWE-290

Nasıl düzeltilir

Güncelleyin

openclaw openclaw2026.4.22 ya da sonraki bir sürüm
openclaw2026.4.22 ya da sonraki bir sürüm

Yamalar

github.com/openclaw/openclaw/commit/3cb1a56bfc9579a0f2336f9cfa12a8a744332a19

Üretici duyuruları

github.com/openclaw/openclaw/security/advisories/GHSA-r6xh-pqhr-v4xh

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
openclaw openclaw	v < 2026.4.22	2026.4.22
openclawnpm	v < 2026.4.22	2026.4.22

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.