BDU:2026-06333

Опубликовано: 02 фев. 2026

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость расширения MS Teams ИИ-агента OpenClaw (ранее - ClawdBot или MoltBot) связана с раскрытием информации при передаче данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

OpenClaw

Версия ПО

до 2026.2.1 (OpenClaw)

Тип ПО

ПО для разработки ИИ

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Средний уровень опасности (оценка CVSS 4.0 составляет 5,9)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/openclaw/openclaw/commit/41cc5bcd4f1d434ad1bbdfa55b56f25025ecbf6b

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-28481
CVE

EPSS

Процентиль: 18%

0.0026

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2026-28481

CVSS3: 6.5

nvd

5 месяцев назад

OpenClaw versions 2026.1.30 and earlier, contain an information disclosure vulnerability, patched in 2026.2.1, in the MS Teams attachment downloader (optional extension must be enabled) that leaks bearer tokens to allowlisted suffix domains. When retrying downloads after receiving 401 or 403 responses, the application sends Authorization bearer tokens to untrusted hosts matching the permissive suffix-based allowlist, enabling token theft.

GHSA-7vwx-582j-j332

CVSS3: 7.4

github

6 месяцев назад

OpenClaw MS Teams inbound attachment downloader leaks bearer tokens to allowlisted suffix domains