OpenClaw: Gemini OAuth ने OAuth राज्य पैरामीटर के माध्यम से PKCE सत्यापनकर्ता को उजागर किया
प्लेटफ़ॉर्म
nodejs
कॉम्पोनेन्ट
openclaw
ठीक किया गया
2026.4.2
## सारांश OpenClaw 2026.4.2 से पहले, Gemini OAuth प्रवाह ने PKCE सत्यापनकर्ता को OAuth `state` मान के रूप में पुन: उपयोग किया। चूंकि प्रदाता को पुनर्निर्देश URL में `state` वापस दर्शाया गया था, इसलिए सत्यापनकर्ता को प्राधिकरण कोड के साथ उजागर किया जा सकता था। ## प्रभाव कोई भी व्यक्ति जो पुनर्निर्देश URL को कैप्चर कर सकता था, वह प्राधिकरण कोड और PKCE सत्यापनकर्ता दोनों सीख सकता था, जिससे उस प्रवाह के लिए PKCE का अवरोधन संरक्षण विफल हो जाता और टोकन रिडेम्पशन को सक्षम किया जा सकता था। ## प्रभावित पैकेज / संस्करण - पैकेज: `openclaw` (npm) - प्रभावित संस्करण: `<= 2026.4.1` - पैच किए गए संस्करण: `>= 2026.4.2` - नवीनतम प्रकाशित npm संस्करण: `2026.4.1` ## फिक्स कमिट(s) - `a26f4d0f3ef0757db6c6c40277cc06a5de76c52f` — OAuth राज्य को PKCE सत्यापनकर्ता से अलग करें OpenClaw @BG0ECV को रिपोर्ट करने के लिए धन्यवाद देता है।
कैसे ठीक करें
कोई आधिकारिक पैच उपलब्ध नहीं है। वैकल्पिक समाधान खोजें या अपडेट की निगरानी करें।
अपनी निर्भरताओं की स्वचालित निगरानी करें
जब नई कमज़ोरियाँ आपके प्रोजेक्ट को प्रभावित करें तो अलर्ट पाएं।
मुफ़्त शुरू करें