要点
- CVE-2026-28461 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
- 今後30日間に悪用される確率（EPSS）：0.36%（全脆弱性の 29.9% より高い）。
- 対処：2026.3.1 以降に更新してください。
| パッケージ | 影響を受けるバージョン | 修正済みバージョン |
|---|
| openclaw | < 2026.3.1
| 2026.3.1
|
| openclaw npm | < 2026.3.1
| 2026.3.1
|
概要
Summary
Unauthenticated requests to a reachable Zalo webhook endpoint could trigger unbounded in-memory key growth by varying query strings on the same valid webhook route.
Impact
An attacker could cause memory pressure and potential process instability or OOM, degrading availability.
Fix
Webhook security tracking now normalizes keys to matched webhook path semantics (query excluded) and bounds/prunes tracking state to prevent unbounded growth.
Affected and Patched Versions
- Affected:
<= 2026.2.26
- Patched:
2026.3.1
NVD の説明
OpenClaw versions prior to 2026.3.1 contain an unbounded memory growth vulnerability in the Zalo webhook endpoint that allows unauthenticated attackers to trigger in-memory key accumulation by varying query strings. Remote attackers can exploit this by sending repeated requests with different query parameters to cause memory pressure, process instability, or out-of-memory conditions that degrade service availability.
これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。
無料でサイトをスキャン