Platform
nodejs
Component
openclaw
Opgelost in
2026.3.13
2026.3.13
CVE-2026-32980 is een kwetsbaarheid in openclaw waardoor ongeauthenticeerde aanvallers een Denial of Service (DoS) kunnen veroorzaken. De applicatie leest en buffert Telegram webhook request bodies voordat de x-telegram-bot-api-secret-token wordt gevalideerd, waardoor onbevoegden pre-auth body I/O en JSON parse werk kunnen forceren. Deze kwetsbaarheid treft openclaw versies <= 2026.3.12. De kwetsbaarheid is verholpen in versie 2026.3.13.
CVE-2026-32980 in openclaw stelt niet-geauthenticeerde aanvallers in staat om tot de geconfigureerde webhook body limiet I/O-bewerioeningen en JSON-parsing werk af te dwingen voordat het Telegram API secret token wordt gevalideerd. Dit komt doordat versies van openclaw kleiner dan of gelijk aan 2026.3.12 Telegram webhook request bodies lezen en bufferen voordat het x-telegram-bot-api-secret-token wordt gevalideerd. Een aanvaller kan dit misbruiken om serverresources te verbruiken, wat mogelijk leidt tot een denial-of-service of, in complexere scenario's, om ongeautoriseerde acties uit te voeren als de webhook is geconfigureerd om gevoelige bewerkingen uit te voeren.
Deze kwetsbaarheid is vooral zorgwekkend voor openclaw-implementaties die fungeren als een standalone Telegram webhook. Een aanvaller kan kwaadaardige webhook-verzoeken verzenden om serverresources uit te putten of, mogelijk, de logica van de webhook te exploiteren als deze gevoelige acties uitvoert. Het ontbreken van initiële authenticatie stelt iedereen in staat om verzoeken te verzenden, wat het risico vergroot. De CVSS-score van 7,5 duidt op een hoog risico.
Exploit Status
EPSS
0.09% (26% percentiel)
CISA SSVC
CVSS-vector
De oplossing is om te upgraden naar versie 2026.3.13 of hoger van openclaw. Deze versie corrigeert de kwetsbaarheid door het Telegram API secret token te valideren voordat het webhook request body wordt verwerkt. Onmiddellijke upgrade wordt sterk aanbevolen om het risico te beperken. Zorg er bovendien voor dat uw Telegram API secret token sterk en uniek is en veilig wordt opgeslagen. Bewaak serverlogs op ongebruikelijke activiteit met betrekking tot webhook-verzoeken.
Werk OpenClaw bij naar versie 2026.3.13 of hoger. Deze versie corrigeert de kwetsbaarheid van resource exhaustion bij het valideren van de x-telegram-bot-api-secret-token header voordat het request body wordt verwerkt.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een Telegram webhook is een manier voor Telegram om updates naar uw applicatie te sturen wanneer bepaalde gebeurtenissen plaatsvinden, zoals nieuwe berichten of wijzigingen. Uw applicatie biedt een URL (de webhook) waar Telegram deze gegevens naar stuurt.
Controleer de versie van openclaw die u gebruikt. Als deze kleiner dan of gelijk is aan 2026.3.12, dan bent u getroffen. U kunt de versie controleren door npm list openclaw in uw terminal uit te voeren.
Als u niet onmiddellijk kunt upgraden, overweeg dan tijdelijke maatregelen te nemen om het risico te beperken, zoals het beperken van de maximale grootte van het webhook-verzoekbody en het bewaken van serverlogs op ongebruikelijke activiteit.
Momenteel zijn er geen specifieke tools om deze kwetsbaarheid te detecteren. Logmonitoring en versiecontrole van openclaw zijn echter effectieve methoden.
Een CVSS-score van 7,5 duidt op een hoog risico. Dit betekent dat de kwetsbaarheid kan worden misbruikt en aanzienlijke gevolgen kan hebben voor de vertrouwelijkheid, integriteit of beschikbaarheid van het systeem.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.