CVE-2026-41372
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
OpenClaw przed wersją 2026.4.2 nie normalizuje nazw hostów localhost z końcową kropką w odpowiedziach zdalnego wykrywania CDP, co pozwala na ominięcie ochrony pętli zwrotnej. Atakujący mogą spreparować wrogie odpowiedzi wykrywania zwracające localhost., aby przekierować uwierzytelnioną kontrolę przeglądarki do punktów końcowych localhost i ujawnić stan przeglądarki.
Ocena ryzyka
Atakujący może uzyskać dostęp do lokalnych zasobów i danych przeglądarki ofiary, co prowadzi do wycieku poufnych informacji i potencjalnego przejęcia sesji.
Rekomendacja
Należy zaktualizować OpenClaw do wersji 2026.4.2 lub nowszej, która normalizuje nazwy hostów z końcową kropką.
Oryginalny opis (angielski, źródło NVD)
OpenClaw before 2026.4.2 fails to normalize trailing-dot localhost hosts in remote CDP discovery responses, allowing bypass of loopback protections. Attackers can craft hostile discovery responses returning localhost. to retarget authenticated browser control toward localhost endpoints and expose browser state.