Platform
nodejs
Component
openclaw
Opgelost in
2026.3.12
2026.3.12
CVE-2026-34505 is een rate limit bypass kwetsbaarheid in OpenClaw. Een aanvaller kan de rate limits omzeilen en webhook secrets brute-forcen. Deze kwetsbaarheid treft versies vóór 2026.3.12. De kwetsbaarheid is verholpen in versie 2026.3.12.
CVE-2026-34505 in OpenClaw heeft betrekking op de Zalo webhook handler. Het systeem paste request rate limiting toe nadat de webhook authenticatie succesvol was. Dit betekende dat verzoeken met een ongeldig geheim een 401 terugkregen, maar niet werden meegeteld in de rate limiter. Een aanvaller kon dus herhaaldelijk het geheim proberen te raden zonder de 429 limiet te bereiken. Zodra het geheim correct was geraden, kon de aanvaller vervalst Zalo webhook verkeer indienen.
Deze kwetsbaarheid is vooral zorgwekkend omdat het een relatief eenvoudige brute-force aanval op webhook geheimen mogelijk maakt. Hoewel geheimen 'beleidsconform' moeten zijn (d.w.z. bepaalde beveiligingsbeleid moeten naleven), vermindert het ontbreken van rate limiting vóór authenticatie de moeilijkheidsgraad om een zwak geheim te raden aanzienlijk. Zodra het is gecompromitteerd, kan een aanvaller Zalo webhooks manipuleren, wat aanzienlijke gevolgen kan hebben, afhankelijk van de functionaliteit die afhankelijk is van deze webhooks.
Applications utilizing openclaw for Zalo webhook integration, particularly those with weak or easily guessable webhook secrets, are at risk. Shared hosting environments where multiple applications share the same webhook endpoint are also potentially vulnerable, as an attacker could target a single vulnerable application to gain access to others.
• nodejs: Use npm audit to check for vulnerable versions of openclaw. Monitor application logs for repeated 401 errors from webhook requests, which could indicate a brute-force attempt.
npm audit openclaw• generic web: Monitor access logs for a high volume of requests to the Zalo webhook endpoint with 401 status codes. Implement rate limiting on the webhook endpoint to detect and block suspicious activity.
disclosure
Exploit Status
EPSS
0.07% (22% percentiel)
CISA SSVC
CVSS-vector
De mitigatie voor CVE-2026-34505 is het updaten van OpenClaw naar versie 2026.3.12 of hoger. Deze versie implementeert rate limiting voor de webhook authenticatie, waardoor aanvallers niet een overmatig aantal pogingen kunnen ondernemen om het geheim te raden. Het wordt ten zeerste aanbevolen om te updaten om u te beschermen tegen dit beveiligingsrisico. Bovendien wordt aanbevolen om robuuste en complexe webhook geheimen te gebruiken om brute-force aanvallen verder te bemoeilijken.
Update OpenClaw naar versie 2026.3.12 of later. Deze versie corrigeert de kwetsbaarheid van het omzeilen van de rate limiting door de rate limiting toe te passen vóór de webhook authenticatie.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
Een Zalo webhook is een manier om real-time notificaties van Zalo te ontvangen over specifieke gebeurtenissen, zoals nieuwe berichten of statusupdates. OpenClaw gebruikt webhooks om te interageren met het Zalo platform.
Het betekent dat het webhook geheim moet voldoen aan de beveiligingsbeleid die door Zalo zijn vastgesteld, zoals een minimale lengte en het gebruik van veilige tekens.
Als u al bent geüpgraded, is het belangrijk om de configuratie van uw webhooks te bekijken en ervoor te zorgen dat de geheimen sterk en complex genoeg zijn om brute-force aanvallen te weerstaan.
Ja, overweeg aanvullende maatregelen te implementeren, zoals het monitoren van webhook activiteit en het beperken van de toegang tot webhook endpoints.
U kunt de OpenClaw versie controleren door de OpenClaw documentatie te raadplegen of een OpenClaw-specifieke versiecontrole opdracht uit te voeren.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.