OpenClaw: Voice-call Plivo V3 webhook replay key uses unsorted URL, allowing replay via query-parameter reordering

高 7.5CVE-2026-41395 · GHSA-8689-gm9g-jgr6 · 28/04/2026 公開 · 17/06/2026 更新

要点

CVE-2026-41395 は openclaw (openclaw), openclaw に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.15%（全脆弱性の 4.1% より高い）。
対処：2026.3.28 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
openclaw openclaw	`< 2026.3.28`	`2026.3.28`
openclaw npm	`< 2026.3.28`	`2026.3.28`

概要

Summary

Plivo V3 signature verification canonicalized query ordering, but replay detection hashed the raw verification URL. Reordering query parameters preserved a valid signature while producing a fresh replay-cache key.

Impact

An attacker who captured one valid signed Plivo V3 webhook could replay the same event by permuting query parameters and trigger duplicate voice-call processing.

Affected Component

extensions/voice-call/src/webhook-security.ts

Fixed Versions

Affected: <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit 85777e726c (Voice Call: canonicalize Plivo V3 replay key).

NVD の説明

OpenClaw before 2026.3.28 contains a webhook replay vulnerability in Plivo V3 signature verification that canonicalizes query ordering for signatures but hashes raw URLs for replay detection. Attackers can reorder query parameters to bypass replay cache detection and trigger duplicate voice-call processing with a captured valid signed webhook.

参考情報

openclaw/openclaw security advisory · WEB
openclaw/openclaw commit 85777e7 · WEB
openclaw/openclaw · PACKAGE
vulncheck.com/advisories/openclaw-webhook-replay-via-query-parameter-reordering-in-plivo-v3 · Third Party Advisory

openclaw のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

openclaw

< 2026.3.28

2026.3.28