CVE-2026-41362
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
OpenClaw w wersjach od 2026.2.19 do 2026.3.30 ma niewłaściwą izolację pamięci podręcznej w mechanizmie deduplikacji webhooków Zalo. Atakujący kontrolujący jeden uwierzytelniony webhook może tłumić zdarzenia na innych kontach poprzez dopasowanie parametrów event_name i message_id.
Ocena ryzyka
Organizacja może utracić ważne zdarzenia biznesowe z innych kont, co prowadzi do niekompletności danych i potencjalnych błędów operacyjnych.
Rekomendacja
Należy zaktualizować OpenClaw do wersji 2026.3.31 lub nowszej, która usuwa podatność.
Oryginalny opis (angielski, źródło NVD)
OpenClaw versions 2026.2.19 before 2026.3.31 contain an improper cache isolation vulnerability in the Zalo webhook replay-dedupe mechanism that is shared across authenticated webhook targets. Attackers controlling one authenticated Zalo webhook path in multi-account deployments can suppress legitimate events on different accounts by matching event_name and message_id parameters.