OpenClaw में Feishu एक्सटेंशन में sendMediaFeishu के माध्यम से स्थानीय फ़ाइल प्रकटीकरण (local file disclosure)

यह वल्नरेबिलिटी हमलावरों को स्थानीय फ़ाइलों को पढ़ने की अनुमति देती है यदि वे किसी तरह से टूल कॉल को प्रभावित कर सकते हैं, चाहे सीधे या प्रॉम्प्ट इंजेक्शन के माध्यम से। हमलावर /etc/passwd जैसी फ़ाइल पथों को mediaUrl के रूप में प्रदान करके संवेदनशील जानकारी, जैसे उपयोगकर्ता नाम और हैश, निकाल सकते हैं। यह जानकारी सिस्टम पर आगे के हमलों के लिए इस्तेमाल की जा सकती है, जैसे विशेषाधिकारों को बढ़ाना या डेटा को चुराना। इस प्रकार की वल्नरेबिलिटी का शोषण करने से सिस्टम की सुरक्षा और गोपनीयता गंभीर रूप से खतरे में पड़ सकती है।

Applications and systems utilizing the OpenClaw Node.js extension, particularly those with prompt injection vulnerabilities or inadequate input validation, are at risk. This includes environments where the extension is used to process user-supplied data or interact with external services.

• nodejs / supply-chain:

  npm list opencLaw

• nodejs / supply-chain:

  npm audit opencLaw

• generic web:

  curl -I 'http://your-application/sendMediaFeishu' # Check for endpoint exposure

1. 2026-02-17Disclosure

   disclosure

1. आरक्षित2026-02-13
2. प्रकाशित2026-02-17
3. संशोधित2026-02-20
4. EPSS अद्यतन2026-03-23

इस वल्नरेबिलिटी को कम करने का सबसे प्रभावी तरीका openclaw को संस्करण 2026.2.14 या बाद के संस्करण में अपग्रेड करना है। यह संस्करण सीधे स्थानीय फ़ाइल रीड को हटाता है और मीडिया लोडिंग को एक सुरक्षित प्रक्रिया के माध्यम से रूट करता है। यदि अपग्रेड करने में समस्या आ रही है, तो अस्थायी रूप से, फ़ायरवॉल नियमों को कॉन्फ़िगर करके या प्रॉक्सी का उपयोग करके mediaUrl पैरामीटर के माध्यम से बाहरी स्रोतों से मीडिया लोडिंग को सीमित किया जा सकता है। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि वल्नरेबिलिटी ठीक हो गई है, sendMediaFeishu फ़ंक्शन के माध्यम से एक दुर्भावनापूर्ण mediaUrl मान (जैसे /etc/passwd) प्रदान करके सिस्टम का परीक्षण करें।