OpenClaw < 2026.3.12 - Feishu वेबहुक सत्यापन टोकन के माध्यम से जाली इवेंट इंजेक्शन (Forged Event Injection)

OpenClaw में CVE-2026-32974 Feishu webhook कार्यान्वयन को प्रभावित करता है जो केवल verificationToken को कॉन्फ़िगर करते हैं बिना encryptKey के। यह कॉन्फ़िगरेशन दुर्भावनापूर्ण अभिनेताओं को Feishu webhook के माध्यम से जाली घटनाओं को भेजने की अनुमति देता है। नेटवर्क एक्सेस और webhook एंडपॉइंट तक पहुंचने की क्षमता वाले एक हमलावर जाली घटनाओं को इंजेक्ट कर सकते हैं, प्रेषकों का प्रतिरूपण कर सकते हैं और स्थानीय एजेंट नीति के अधीन, डाउनस्ट्रीम टूल निष्पादन को ट्रिगर कर सकते हैं। एन्क्रिप्शन कुंजी की कमी क्रिप्टोग्राफिक सत्यापन सीमा को कमजोर करती है, जिससे पहचान प्रतिरूपण और घटनाओं में हेरफेर करना आसान हो जाता है।

Organizations using openclaw to integrate Feishu with other tools are at risk. This includes teams relying on automated workflows triggered by Feishu events, particularly those with less stringent security configurations or legacy deployments where webhook settings may have been overlooked.

• nodejs / server:

  npm list openclaw

• nodejs / server:

  grep -r 'verificationToken' /path/to/openclaw/config.js # Check for missing encryptKey

• generic web:

  curl -I https://your-openclaw-instance/webhook # Check for expected headers (e.g., X-Signature-CA)

1. 2026-03-13Disclosure

   disclosure

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-13
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-06

इस भेद्यता को कम करने के लिए, OpenClaw को संस्करण 2026.3.12 या उच्चतर में अपडेट करना महत्वपूर्ण है। यह संस्करण Feishu webhook कॉन्फ़िगरेशन के लिए verificationToken और encryptKey दोनों की आवश्यकता के माध्यम से इस त्रुटि को ठीक करता है। सुनिश्चित करें कि आप इस आवश्यकता का अनुपालन करने के लिए अपने मौजूदा webhook कॉन्फ़िगरेशन की समीक्षा और अपडेट करें। इसके अतिरिक्त, अधिकृत उपयोगकर्ताओं और नेटवर्क तक पहुंच को सीमित करने के लिए webhook एंडपॉइंट पर सख्त एक्सेस नियंत्रण लागू करें। संदिग्ध गतिविधि के लिए webhook लॉग की निगरानी करें और असामान्य घटनाओं का पता लगाने के लिए अलर्ट कॉन्फ़िगर करें।