CVE-2026-34506
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.3.8 zawiera podatność na ominięcie listy dozwolonych nadawców we wtyczce Microsoft Teams. Gdy lista dozwolonych tras zespołu/kanału jest skonfigurowana z pustym parametrem groupAllowFrom, syntezator wiadomości tworzy autoryzację dla dowolnego nadawcy, umożliwiając nieautoryzowanym nadawcom wyzwalanie odpowiedzi w dozwolonych trasach Teams.
Ocena ryzyka
Nieautoryzowany nadawca może wysyłać wiadomości do kanałów Teams, co może prowadzić do wycieku informacji lub nieautoryzowanych działań.
Rekomendacja
Należy zaktualizować OpenClaw do wersji 2026.3.8 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy upewnić się, że parametr groupAllowFrom nie jest pusty w konfiguracji listy dozwolonych tras.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.3.8 contains a sender allowlist bypass vulnerability in its Microsoft Teams plugin that allows unauthorized senders to bypass intended authorization checks. When a team/channel route allowlist is configured with an empty groupAllowFrom parameter, the message handler synthesizes wildcard sender authorization, permitting any sender in the matched team/channel to trigger replies in allowlisted Teams routes.