Résumé
généré automatiquement à partir des données NVDOpenClaw, avant la version 2026.4.15, présente une faille de contournement d'authentification dans la validation des webhooks Feishu et des card-actions : des requêtes non authentifiées peuvent atteindre le dispatch de commandes. L'absence de configuration encryptKey et les tokens de callback vides n'entraînent aucun rejet (fail open), ce qui permet d'éviter la vérification de signature et la protection contre le rejeu, puis d'exécuter des commandes arbitraires. Score CVSS v3.1 : 9.8 (CRITICAL).
Description NVD (anglais)
OpenClaw before 2026.4.15 contains an authentication bypass vulnerability in Feishu webhook and card-action validation that allows unauthenticated requests to reach command dispatch. Missing encryptKey configuration and blank callback tokens fail open instead of rejecting requests, enabling attackers to bypass signature verification and replay protection to execute arbitrary commands.
EPSS · FIRST.org
1,1 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 64 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 18 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 6 mai 2026
- Mis à jour
- 17 juin 2026
- Statut
- Analyzed
- Source
- disclosure@vulncheck.com
Produits affectés
Faiblesses (CWE)
Références (3)
- https://github.com/openclaw/openclaw/security/advisories/GHSA-xh72-v6v9-mwhcMitigationVendor Advisory
CVEs similaires
Autres vulnérabilités de type CWE-1188
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.