Tóm tắt nhanh
- CVE-2026-28461 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng openclaw (openclaw), openclaw.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.36%, cao hơn 29.9% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2026.3.1 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| openclaw | < 2026.3.1
| 2026.3.1
|
| openclaw npm | < 2026.3.1
| 2026.3.1
|
Mô tả
Summary
Unauthenticated requests to a reachable Zalo webhook endpoint could trigger unbounded in-memory key growth by varying query strings on the same valid webhook route.
Impact
An attacker could cause memory pressure and potential process instability or OOM, degrading availability.
Fix
Webhook security tracking now normalizes keys to matched webhook path semantics (query excluded) and bounds/prunes tracking state to prevent unbounded growth.
Affected and Patched Versions
- Affected:
<= 2026.2.26
- Patched:
2026.3.1
Mô tả của NVD
OpenClaw versions prior to 2026.3.1 contain an unbounded memory growth vulnerability in the Zalo webhook endpoint that allows unauthenticated attackers to trigger in-memory key accumulation by varying query strings. Remote attackers can exploit this by sending repeated requests with different query parameters to cause memory pressure, process instability, or out-of-memory conditions that degrade service availability.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí