جزئیات آسیب‌پذیری

CVE-2026-108757

Nexting pinclaw

Nexting pinclaw through 0.3.0 Missing Authentication via POST /pinclaw/send

CVSS 4.0

7.1بالا

شرح رسمی (انگلیسی)

Nexting pinclaw OpenClaw channel plugin through 0.3.0 contains a missing authentication vulnerability in src/core/http-router.ts that skips the authToken check on POST /pinclaw/send. Unauthenticated attackers reaching port 18790, which binds all interfaces by default, can inject blind prompts into the user's main OpenClaw agent session as user instructions.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
7.1بالا	4.0	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N`
6.5متوسط	3.1	CVEProject cvelistV5 (CNA) (VulnCheck)	`CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
Nexting	pinclaw	v ≤ 0.3.0	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://hackmd.io/@haind/nexting-pinclaw-send-unauth-agent-injection third-party-advisory
https://github.com/Nexting-ai/nexting/blob/a4b75f0429d3b1bf35eef68a296b2e72aa9c7483/plugin/src/core/http-router.ts#L296-L330 technical-description
https://github.com/Nexting-ai/nexting/blob/a4b75f0429d3b1bf35eef68a296b2e72aa9c7483/plugin/src/core/server.ts#L149 technical-description
https://www.npmjs.com/package/pinclaw product
https://www.vulncheck.com/advisories/nexting-pinclaw-through-0.3.0-missing-authentication-via-post-pinclaw-send third-party-advisory

کانال تلگرام کُلون @kolunsec_fa تازه‌های KEV، خبرهای مهم و خلاصه‌ی روزانه هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۷/۱۹
آخرین به‌روزرسانی: ۱۴۰۵/۰۷/۲۱
وضعیت: منتشرشده
صادرکننده (CNA): VulnCheck

پیش‌بینی بهره‌برداری (EPSS)

۰٫۲۲٪

احتمال بهره‌برداری در ۳۰ روز

۱۳٫۷٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: خیر
وضعیت بهره‌برداری: ندارد
اثر فنی: جزئی

ضعف‌ها (CWE)

CWE-306
Missing Authentication for Critical Function