प्लेटफ़ॉर्म
nodejs
घटक
openclaw
में ठीक किया गया
2026.3.13
CVE-2026-32917 OpenClaw में एक कमांड इंजेक्शन भेद्यता है। इसका मतलब है कि एक हमलावर मनमाना कमांड निष्पादित कर सकता है, जिससे गंभीर नुकसान हो सकता है। यह भेद्यता 0–2026.3.13 संस्करणों को प्रभावित करती है। संस्करण 2026.3.13 में इस समस्या को ठीक कर दिया गया है।
CVE-2026-32917 OpenClaw के 2026.3.13 से पहले के संस्करणों को प्रभावित करता है, जिससे रिमोट कमांड इंजेक्शन भेद्यता उत्पन्न होती है। यह दोष iMessage अटैचमेंट स्टेजिंग फ्लो के भीतर मौजूद है। एक हमलावर इस भेद्यता का उपयोग कॉन्फ़िगर किए गए रिमोट होस्ट पर मनमाना कमांड निष्पादित करने के लिए कर सकता है। भेद्यता को CVSS स्कोर 9.8 के साथ रेट किया गया है, जो एक महत्वपूर्ण जोखिम दर्शाता है। मूल कारण रिमोट अटैचमेंट पथों के सैनिटाइजेशन की कमी है जिसमें शेल मेटाकैरेक्टर शामिल हैं, जिन्हें रिमोट अटैचमेंट स्टेजिंग सक्षम होने पर सत्यापन के बिना सीधे SCP रिमोट ऑपरेंड को पास किया जाता है।
भेद्यता iMessage अटैचमेंट स्टेजिंग फ्लो के माध्यम से शोषण की जाती है। एक हमलावर शेल मेटाकैरेक्टर युक्त दुर्भावनापूर्ण अटैचमेंट भेज सकता है। यदि रिमोट अटैचमेंट स्टेजिंग सक्षम है, तो OpenClaw SCP कमांड को अटैचमेंट पथ (दुर्भावनापूर्ण वर्णों के साथ) पास करेगा। यह हमलावर को रिमोट सर्वर पर मनमाना कमांड निष्पादित करने की अनुमति देता है। शोषण की जटिलता अपेक्षाकृत कम है, क्योंकि इसके लिए प्रमाणीकरण की आवश्यकता नहीं होती है और इसे एक साधारण दुर्भावनापूर्ण अटैचमेंट द्वारा ट्रिगर किया जा सकता है। प्रभाव उच्च है, क्योंकि यह OpenClaw प्रक्रिया के विशेषाधिकारों के साथ रिमोट कोड निष्पादन की अनुमति देता है।
Organizations utilizing OpenClaw with remote attachment staging enabled are at risk. This includes environments where OpenClaw is used for file sharing or collaboration, particularly those with less stringent security controls. Legacy OpenClaw deployments and systems with outdated configurations are also at increased risk.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.59% (69% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-32917 को कम करने का समाधान OpenClaw को संस्करण 2026.3.13 या बाद के संस्करण में अपग्रेड करना है। यह अपडेट रिमोट अटैचमेंट पथों के उचित सत्यापन को लागू करके भेद्यता को ठीक करता है, जिससे कमांड इंजेक्शन को रोका जा सकता है। अपग्रेड करने तक, यदि यह बिल्कुल आवश्यक नहीं है, तो रिमोट अटैचमेंट स्टेजिंग कार्यक्षमता को अक्षम करने की अनुशंसा की जाती है। सिस्टम लॉग की निगरानी संदिग्ध गतिविधि के लिए भी संभावित शोषण प्रयासों का पता लगाने और उनका जवाब देने में मदद कर सकती है। अपग्रेड के बाद सिस्टम स्थिरता सुनिश्चित करने के लिए पूरी तरह से परीक्षण करने की सिफारिश की जाती है।
OpenClaw को संस्करण 2026.3.13 या बाद के संस्करण में अपडेट करें। यह SCP को पास करने से पहले iMessage अटैचमेंट पाथ को सही ढंग से मान्य करके रिमोट कमांड इंजेक्शन (Remote Command Injection) भेद्यता को ठीक करता है।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
OpenClaw एक ईमेल सेवाओं का प्रबंधन सॉफ्टवेयर है जो ईमेल खातों को प्रबंधित करने के लिए एक वेब इंटरफ़ेस प्रदान करता है।
यदि आप OpenClaw के 2026.3.13 से पहले के संस्करण का उपयोग कर रहे हैं, तो आप प्रभावित हैं। अपने सिस्टम पर स्थापित संस्करण की जांच करें।
CVSS स्कोर 9.8 एक महत्वपूर्ण भेद्यता को इंगित करता है जिसके लिए तत्काल ध्यान देने की आवश्यकता है।
रिमोट अटैचमेंट स्टेजिंग कार्यक्षमता को अक्षम करना एक अस्थायी समाधान है।
अधिक विवरण के लिए OpenClaw के आधिकारिक दस्तावेज़ और उद्योग सुरक्षा स्रोतों से परामर्श करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।