ورود / ثبت‌نام

جزئیات آسیب‌پذیری

CVE-2026-28446

OpenClaw OpenClaw

OpenClaw < 2026.2.1 - Inbound Allowlist Policy Bypass in voice-call Extension via Empty Caller ID and Suffix Matching

CVSS 4.0
9.2بحرانی

شرح رسمی (انگلیسی)

OpenClaw versions prior to 2026.2.1 with the voice-call extension installed and enabled contain an authentication bypass vulnerability in inbound allowlist policy validation that accepts empty caller IDs and uses suffix-based matching instead of strict equality. Remote attackers can bypass inbound access controls by placing calls with missing caller IDs or numbers ending with allowlisted digits to reach the voice-call agent and execute tools.

امتیازهای CVSS

امتیازنسخهمنبعبردار
9.2بحرانی 4.0 CVEProject cvelistV5 (CNA) (VulnCheck) CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
9.4بحرانی 3.1 CVEProject cvelistV5 (CNA) (VulnCheck) CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L

محصولات آسیب‌پذیر

فروشندهمحصولنسخه‌هامنبع
OpenClaw OpenClaw v < 2026.2.1 CVEProject cvelistV5 (CNA)

منابع و راهنماها

۳
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار
۱۴۰۴/۱۲/۱۵
آخرین به‌روزرسانی
۱۴۰۴/۱۲/۲۰
وضعیت
منتشرشده
صادرکننده (CNA)
VulnCheck

پیش‌بینی بهره‌برداری (EPSS)

۰٫۷۴٪
احتمال بهره‌برداری در ۳۰ روز
۵۵٪
صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی
بله
وضعیت بهره‌برداری
ندارد
اثر فنی
کامل

ضعف‌ها (CWE)

  • CWE-303
    Incorrect Implementation of Authentication Algorithm