OpenClaw 2.0.0-beta3 < 2026.2.14 - हुक ट्रांसफॉर्म पाथ ट्रावर्सल के माध्यम से मनमाना जावास्क्रिप्ट मॉड्यूल लोडिंग

यह भेद्यता हमलावरों को OpenClaw के हुक ट्रांसफॉर्म मॉड्यूल लोडिंग प्रक्रिया का फायदा उठाने की अनुमति देती है। hooks.mappings[].transform.module पैरामीटर पूर्ण पथ और पारगमन अनुक्रमों को स्वीकार करता है। यदि हमलावर के पास कॉन्फ़िगरेशन लिखने की पहुंच है, तो वे गेटवे प्रक्रिया विशेषाधिकारों के साथ दुर्भावनापूर्ण मॉड्यूल लोड और निष्पादित कर सकते हैं। इसका परिणाम मनमाना कोड निष्पादन, डेटा चोरी और सिस्टम नियंत्रण के संभावित नुकसान में हो सकता है। यह भेद्यता विशेष रूप से चिंताजनक है क्योंकि यह हमलावरों को उच्च विशेषाधिकार प्राप्त प्रक्रियाओं के संदर्भ में कोड चलाने की अनुमति देती है, जिससे सिस्टम पर व्यापक प्रभाव पड़ सकता है।

Organizations and individuals using OpenClaw, particularly those with publicly accessible instances or those who allow external users to modify configuration files, are at risk. Environments where OpenClaw is integrated with other systems or services are also at increased risk due to the potential for lateral movement.

• javascript: Examine OpenClaw configuration files for suspicious entries in the hooks.mappings[].transform.module parameter, particularly those containing absolute paths or traversal sequences (e.g., ../). • javascript: Monitor OpenClaw logs for errors or warnings related to module loading failures, which could indicate an attempted exploitation. • javascript: Use a debugger to step through the hook transform module loading process and identify any unexpected file access patterns.

1. 2026-03-05Disclosure

   disclosure

1. आरक्षित2026-02-27
2. प्रकाशित2026-03-05
3. संशोधित2026-03-11
4. EPSS अद्यतन2026-03-23

CVE-2026-28393 के लिए प्राथमिक शमन उपाय OpenClaw को संस्करण 2026.2.14 या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपग्रेड संभव नहीं है, तो कॉन्फ़िगरेशन फ़ाइलों में पथों को सख्त रूप से नियंत्रित करने के लिए अतिरिक्त सुरक्षा उपाय लागू किए जा सकते हैं। यह सुनिश्चित करें कि hooks.mappings[].transform.module पैरामीटर केवल विश्वसनीय स्रोतों से मॉड्यूल लोड करता है। वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू करने पर विचार करें जो पथ पारगमन प्रयासों का पता लगाते हैं और उन्हें अवरुद्ध करते हैं। हुक ट्रांसफॉर्म मॉड्यूल के लिए इनपुट सत्यापन को मजबूत करना भी एक प्रभावी शमन रणनीति हो सकती है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, हुक ट्रांसफॉर्म मॉड्यूल को लोड करने का प्रयास करके और यह सुनिश्चित करके कि केवल अपेक्षित मॉड्यूल ही लोड किए गए हैं।