OpenClaw < 2026.3.13 - अप्रमाणित टेलीग्राम वेबहुक अनुरोध के माध्यम से संसाधन की कमी (Resource Exhaustion)

CVE-2026-32980 openclaw में, अनधिकृत हमलावरों को Telegram API गुप्त टोकन को मान्य करने से पहले कॉन्फ़िगर किए गए वेबहुक बॉडी सीमा तक प्री-ऑथेंटिकेशन बॉडी I/O और JSON पार्सिंग कार्य को लागू करने की अनुमति मिलती है। ऐसा इसलिए है क्योंकि openclaw के संस्करण 2026.3.12 से कम या उसके बराबर होने पर Telegram वेबहुक अनुरोध बॉडी को पढ़ना और बफर करना पड़ता है, इससे पहले कि x-telegram-bot-api-secret-token को मान्य किया जाए। एक हमलावर इसका उपयोग सर्वर संसाधनों का उपभोग करने, संभावित रूप से सेवा से इनकार करने या, यदि वेबहुक को संवेदनशील संचालन करने के लिए कॉन्फ़िगर किया गया है, तो अनधिकृत कार्रवाई करने के लिए कर सकता है।

1. आरक्षित2026-03-17
2. प्रकाशित2026-03-16
3. संशोधित2026-04-01
4. EPSS अद्यतन2026-04-06

समाधान openclaw को संस्करण 2026.3.13 या बाद के संस्करण में अपग्रेड करना है। यह संस्करण वेबहुक अनुरोध बॉडी को संसाधित करने से पहले Telegram API गुप्त टोकन को मान्य करके इस भेद्यता को ठीक करता है। जोखिम को कम करने के लिए तत्काल अपग्रेड की दृढ़ता से अनुशंसा की जाती है। इसके अतिरिक्त, सुनिश्चित करें कि आपका Telegram API गुप्त टोकन मजबूत और अद्वितीय है, और इसे सुरक्षित रूप से संग्रहीत किया गया है। वेबहुक अनुरोधों से संबंधित सर्वर लॉग में असामान्य गतिविधि की निगरानी करें।