प्लेटफ़ॉर्म
nodejs
घटक
openclaw
में ठीक किया गया
2026.2.1
2026.2.1
CVE-2026-28447 एक पथ पारगमन भेद्यता है जो openclaw प्लगइन इंस्टॉलेशन प्रक्रिया में पाई गई है। इस भेद्यता का शोषण करके, एक हमलावर अनधिकृत स्थानों पर फ़ाइलें लिख सकता है, जिससे संभावित रूप से सिस्टम की सुरक्षा से समझौता हो सकता है। यह भेद्यता openclaw के संस्करण 2026.1.20 और 2026.2.1 (विशेष) के बीच के संस्करणों को प्रभावित करती है। 2026.2.1 या बाद के संस्करण में अपग्रेड करके इस समस्या का समाधान किया जा सकता है।
यह भेद्यता हमलावरों को openclaw प्लगइन इंस्टॉलेशन पथ को बायपास करने की अनुमति देती है। एक दुर्भावनापूर्ण प्लगइन package.json name का उपयोग करके, हमलावर इच्छित एक्सटेंशन निर्देशिका से बाहर निकल सकता है और पैरेंट निर्देशिका में फ़ाइलें लिख सकता है। इसका परिणाम सिस्टम फ़ाइलों को ओवरराइट करने, मैलवेयर स्थापित करने या अन्य दुर्भावनापूर्ण गतिविधियों को करने में हो सकता है। यह भेद्यता विशेष रूप से उन प्रणालियों के लिए गंभीर है जो openclaw प्लगइन पर निर्भर करती हैं, क्योंकि यह हमलावरों को सिस्टम पर नियंत्रण प्राप्त करने का एक सीधा मार्ग प्रदान कर सकती है।
CVE-2026-28447 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी गंभीरता और संभावित प्रभाव को देखते हुए, यह शोषण के लिए एक आकर्षक लक्ष्य हो सकता है। इस भेद्यता के लिए सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) मौजूद हो सकते हैं, जो हमलावरों को इसका शोषण करने में सक्षम कर सकते हैं। CISA ने अभी तक इस भेद्यता को KEV (Known Exploited Vulnerabilities) सूची में शामिल नहीं किया है, लेकिन इसकी निगरानी करना महत्वपूर्ण है।
Developers and organizations using OpenClaw for plugin-based extensions are at risk. This includes those who automatically install plugins from untrusted sources or lack robust input validation on plugin names. Shared hosting environments where multiple users can install plugins are particularly vulnerable, as a malicious plugin installed by one user could potentially impact other users on the same server.
• nodejs / supply-chain:
npm list openclawCheck the installed version against the affected range (>= 2026.1.20, < 2026.2.1). • nodejs / supply-chain:
find node_modules -name 'package.json' -print0 | xargs -0 grep -i 'name: @ma' Search for plugins with suspicious names containing '@ma' or similar patterns. • generic web: Inspect plugin installation directories for unexpected files or modifications.
disclosure
patch
एक्सप्लॉइट स्थिति
EPSS
0.03% (8% शतमक)
CISA SSVC
CVE-2026-28447 को कम करने के लिए, openclaw को संस्करण 2026.2.1 या बाद के संस्करण में तुरंत अपग्रेड करना महत्वपूर्ण है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके प्लगइन इंस्टॉलेशन पथ तक पहुंच को प्रतिबंधित कर सकते हैं। इसके अतिरिक्त, प्लगइन इंस्टॉलेशन निर्देशिका के लिए सख्त अनुमतियाँ सेट करना और नियमित रूप से सिस्टम लॉग की निगरानी करना भी महत्वपूर्ण है। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, प्लगइन निर्देशिका में अनधिकृत फ़ाइलों की जांच करके।
Actualice OpenClaw a la versión 2026.2.1 o posterior. Esta versión corrige la vulnerabilidad de path traversal en la instalación de plugins. La actualización evitará que atacantes escriban archivos fuera del directorio de extensiones previsto.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-28447 openclaw प्लगइन इंस्टॉलेशन प्रक्रिया में एक पथ पारगमन भेद्यता है जो हमलावरों को अनधिकृत फ़ाइलें लिखने की अनुमति दे सकती है।
यदि आप openclaw के संस्करण 2026.1.20 और 2026.2.1 के बीच चल रहे हैं, तो आप प्रभावित हैं।
openclaw को संस्करण 2026.2.1 या बाद के संस्करण में अपग्रेड करें।
CVE-2026-28447 को अभी तक सक्रिय रूप से शोषण करते हुए नहीं देखा गया है, लेकिन इसकी गंभीरता को देखते हुए, यह शोषण के लिए एक संभावित लक्ष्य है।
कृपया openclaw के आधिकारिक वेबसाइट या npm पैकेज रिपॉजिटरी पर जाएँ।
CVSS वेक्टर
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।