Tóm tắt nhanh
- CVE-2026-28452 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng openclaw (openclaw), clawdbot, openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.38%, cao hơn 32.0% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.2.14 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.2.14
| 2026.2.14
|
| clawdbot npm | ≤ 2026.1.24-3
| Chưa có bản vá |
| openclaw npm | < 2026.2.14
| 2026.2.14
|
Mô tả
Summary
Archive extraction lacked strict resource budgets, allowing high-expansion ZIP/TAR archives to consume excessive CPU/memory/disk during install/update flows.
Affected Packages / Versions
- openclaw (npm): <= 2026.2.13
- clawdbot (npm): <= 2026.1.24-3
Details
Affected component: src/infra/archive.ts (extractArchive).
The extractor now enforces resource budgets (entry count and extracted byte limits; ZIP also enforces a compressed archive size limit) and rejects over-budget archives.
Fix Commit(s)
- openclaw/openclaw@d3ee5deb87ee2ad0ab83c92c365611165423cb71
- openclaw/openclaw@5f4b29145c236d124524c2c9af0f8acd048fbdea
Release Process Note
This advisory will be updated with patched versions once the next npm release containing the fix is published.
Credits
Thanks @vincentkoc for reporting.
Mô tả của NVD
OpenClaw versions prior to 2026.2.14 contain a denial of service vulnerability in the extractArchive function within src/infra/archive.ts that allows attackers to consume excessive CPU, memory, and disk resources through high-expansion ZIP and TAR archives. Remote attackers can trigger resource exhaustion by providing maliciously crafted archive files during install or update operations, causing service degradation or system unavailability.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí