p PatchFirst

CVE-2026-28465

CVE-2026-28465 · OpenClaw voice-call < 2026.2.3 - Webhook Verification Bypass via Forwarded Headers

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

OpenClaw's voice-call plugin versions before 2026.2.3 contain an improper authentication vulnerability in webhook verification that allows remote attackers to bypass verification by supplying untrusted forwarded headers. Attackers can spoof webhook events by manipulating Forwarded or X-Forwarded-* headers in reverse-proxy configurations that implicitly trust these headers.

CVSS 8.2 · Высокий · EPSS 0,4% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • voice-call

    Версии
    • ≥ 0, < 2026.2.3: Затронуто (custom)

    Обновитесь до 2026.2.3

  • @openclaw/voice-call npm

    Затронутые диапазоны версий
    • SEMVER: < 2026.2.3

    Обновитесь до 2026.2.3

  • @clawdbot/voice-call npm

    Затронутые диапазоны версий
    • SEMVER: ≤ 2026.1.24

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →