OpenClaw: Zalo channel downloads media before sender authorization

TRUNG BÌNH 6.5CVE-2026-33576 · GHSA-v2v2-f783-358j · Công bố 31/03/2026 · cập nhật 24/07/2026

Tóm tắt nhanh

CVE-2026-33576 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng openclaw (openclaw), openclaw.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.36%, cao hơn 30.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2026.3.28 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
openclaw openclaw	`< 2026.3.28`	`2026.3.28`
openclaw npm	`< 2026.3.28`	`2026.3.28`

Mô tả

Summary

The Zalo image path fetched and stored inbound media before the DM/pairing authorization checks ran.

Impact

Unauthorized senders could force network fetches and disk writes in the inbound media store even when the message itself was rejected.

Affected Component

extensions/zalo/src/monitor.ts

Fixed Versions

Affected: <= 2026.3.24
Patched: >= 2026.3.28
Latest stable 2026.3.28 contains the fix.

Fix

Fixed by commit 68ceaf7a5f (zalo: gate image downloads before DM auth).

OpenClaw thanks @AntAISecurityLab for reporting.

Mô tả của NVD

OpenClaw before 2026.3.28 downloads and stores inbound media from Zalo channels before validating sender authorization. Unauthorized senders can force network fetches and disk writes to the media store by sending messages that are subsequently rejected.