Версии OpenClaw до 2026.2.12 с включенным дополнительным плагином Nostr предоставляют неаутентифицированные конечные точки HTTP в /api/channels/nostr/:accountId/profile и /api/channels/nostr/:accountId/profile/import, которые позволяют читать и изменять профили Nostr без аутентификации шлюза. Удаленные злоумышленники могут использовать эти конечные точки для чтения конфиденциальных данных профиля, изменения профилей Nostr, сохранения вредоносных изменений в конфигурации шлюза и публикации подписанных событий Nostr с использованием закрытого ключа бота, когда HTTP-порт шлюза доступен за пределами локального хоста.
Показать оригинальное описание (EN)
OpenClaw versions prior to 2026.2.12 with the optional Nostr plugin enabled expose unauthenticated HTTP endpoints at /api/channels/nostr/:accountId/profile and /api/channels/nostr/:accountId/profile/import that allow reading and modifying Nostr profiles without gateway authentication. Remote attackers can exploit these endpoints to read sensitive profile data, modify Nostr profiles, persist malicious changes to gateway configuration, and publish signed Nostr events using the bot's private key when the gateway HTTP port is accessible beyond localhost.
Характеристики атаки
Последствия
Строка CVSS v4.0