OpenClaw до версии 2026.3.22 содержит уязвимость обхода аутентификации в обработке заголовка X-Forwarded-For, когда настроенаtrustProxies, что позволяет злоумышленникам подделывать петлевые переходы. Удаленные злоумышленники могут внедрить поддельные заголовки пересылки, чтобы обойти аутентификацию Canvas и средства защиты, ограничивающие скорость, маскируясь под клиентов обратной связи.
Показать оригинальное описание (EN)
OpenClaw before 2026.3.22 contains an authentication bypass vulnerability in the X-Forwarded-For header processing when trustedProxies is configured, allowing attackers to spoof loopback hops. Remote attackers can inject forged forwarding headers to bypass canvas authentication and rate-limiting protections by masquerading as loopback clients.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 4
https://github.com/openclaw/openclaw/commit/630f1479c44f78484dfa21bb407cbe6f171…
disclosure@vulncheck.com
https://github.com/openclaw/openclaw/commit/fc2d29ea926f47c428c556e92ec98144122…
disclosure@vulncheck.com
https://github.com/openclaw/openclaw/security/advisories/GHSA-844j-xrrq-wgh4
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/openclaw-xff-loopback-spoofing-bypass-in-c…
disclosure@vulncheck.com