OpenClaw's Nextcloud Talk webhook missing rate limiting on shared secret authentication

中 6.5CVE-2026-33580 · GHSA-9528-x887-j2fp · 31/03/2026 公開 · 24/07/2026 更新

要点

CVE-2026-33580 は openclaw (openclaw), openclaw に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.37%（全脆弱性の 31.1% より高い）。
対処：2026.3.28 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.3.28`	`2026.3.28`
openclaw npm	`< 2026.3.28`	`2026.3.28`

概要

Summary

Nextcloud Talk webhook signature failures were not throttled even though the integration relies on an operator-configured shared secret that may be weak.

Impact

An attacker who could reach the webhook endpoint could brute-force weak secrets online and then forge inbound webhook events.

Affected Component

extensions/nextcloud-talk/src/monitor.ts

Fixed Versions

Affected: <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit e403decb6e (nextcloud-talk: throttle repeated webhook auth failures).

OpenClaw thanks @AntAISecurityLab for reporting.

NVD の説明

OpenClaw before 2026.3.28 contains a missing rate limiting vulnerability in the Nextcloud Talk webhook authentication that allows attackers to brute-force weak shared secrets. Attackers who can reach the webhook endpoint can exploit this to forge inbound webhook events by repeatedly attempting authentication without throttling.

参考情報

openclaw/openclaw security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2026-33580 · ADVISORY
openclaw/openclaw commit e403dec · WEB
openclaw/openclaw · PACKAGE
openclaw/openclaw release v2026.3.28 · WEB
vulncheck.com/advisories/openclaw-brute-force-attack-via-missing-rate-limiting-on-webhook-shared-secret-authentication · WEB

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.3.28

2026.3.28