OpenClaw: SSRF via URL de base configurées non protégées dans plusieurs extensions de canal (Correction incomplète pour CVE-2026-28476)

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de contourner les restrictions de sécurité et d'accéder à des ressources internes qui ne seraient normalement pas accessibles depuis l'extérieur du réseau. Cela pourrait inclure l'accès à des fichiers de configuration sensibles, des bases de données internes ou d'autres services internes. Un attaquant pourrait également utiliser cette vulnérabilité pour lancer des attaques contre d'autres systèmes internes en utilisant le serveur vulnérable comme pivot. Le risque est exacerbé par le fait que cette vulnérabilité est une correction incomplète d'une vulnérabilité précédente (CVE-2026-28476), suggérant que d'autres extensions de canaux pourraient également être affectées.

Applications utilizing the openclaw Node.js package in their backend infrastructure are at risk. This includes projects relying on openclaw for channel extension functionality, particularly those with configurations allowing for flexible base URL settings. Shared hosting environments where openclaw is installed and configured by the hosting provider are also potentially vulnerable.

• nodejs / server:

  npm list openclaw

This command will list installed versions of openclaw. Check if the version is <= 2026.3.24. • nodejs / server:

  grep -r 'fetchWithSsrFGuard' ./node_modules/openclaw/

Search for the fetchWithSsrFGuard function within the openclaw module. Its presence indicates the fix is applied. • generic web: Review application logs for unusual outbound requests originating from the server, especially those targeting internal IP addresses or sensitive internal endpoints.

1. 2026-03-29Disclosure

   disclosure

1. Réservé2026-04-04
2. Publiée2026-03-29
3. Modifiée2026-04-10
4. EPSS mis à jour2026-04-17

La mitigation principale consiste à mettre à jour le module openclaw vers la version 2026.3.28 ou ultérieure. Si la mise à jour n'est pas immédiatement possible, une solution de contournement temporaire pourrait consister à configurer un pare-feu d'application web (WAF) pour bloquer les requêtes sortantes vers des domaines non autorisés. Il est également recommandé de revoir la configuration des extensions de canaux pour s'assurer qu'elles n'utilisent pas de bases d'URL non sécurisées. Après la mise à jour, vérifiez que la fonctionnalité des extensions de canaux fonctionne comme prévu et qu'il n'y a pas de nouvelles vulnérabilités introduites.