BDU:2026-05044

Опубликовано: 21 фев. 2026

Источник: fstec

CVSS3: 6.5

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость плагина BlueBubbles ИИ-агента OpenClaw (ранее - ClawdBot или MoltBot) связана с недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие механизмы безопасности

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

OpenClaw

Версия ПО

до 2026.2.22 (OpenClaw)

Тип ПО

ПО для разработки ИИ

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/openclaw/openclaw/commit/2ba6de7eaad812e5e8603018e14e54e96bdd57dd

https://github.com/openclaw/openclaw/commit/4540790cb62412676f7b61cfc6e47443f84a251e

https://github.com/openclaw/openclaw/commit/51c0893673de8e5cea64e64351dbfa4680ba0dec

https://github.com/openclaw/openclaw/commit/9632b9bcf032c5f2280c3103961fde912ab1f920

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-22170
CVE

EPSS

Процентиль: 17%

0.00255

Низкий

6.5 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2026-22170

CVSS3: 6.5

nvd

5 месяцев назад

OpenClaw versions prior to 2026.2.22 with the optional BlueBubbles plugin contain an access control bypass vulnerability where empty allowFrom configuration causes dmPolicy pairing and allowlist restrictions to be ineffective. Remote attackers can send direct messages to BlueBubbles accounts by exploiting the misconfigured allowlist validation logic to bypass intended sender authorization checks.

GHSA-jwf4-8wf4-jf2m

github