Vulnerabilidad en OpenClaw (CVE-2026-25474)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-345 Verificación insuficiente de autenticidad de los datos

Fecha de publicación:

19/02/2026

Última modificación:

19/02/2026

Descripción

OpenClaw es un asistente personal de IA. En las versiones 2026.1.30 e inferiores, si channels.telegram.webhookSecret no está configurado cuando se encuentra en modo webhook de Telegram, OpenClaw puede aceptar solicitudes HTTP de webhook sin verificar el encabezado del token secreto de Telegram. En implementaciones donde el endpoint del webhook es accesible por un atacante, esto puede permitir actualizaciones falsificadas de Telegram (por ejemplo, suplantando message.from.id). Si un atacante puede alcanzar el endpoint del webhook, podría enviar actualizaciones falsificadas que se procesan como si provinieran de Telegram. Dependiendo de los comandos/herramientas habilitados y la configuración, esto podría llevar a acciones no intencionadas del bot. Nota: El modo webhook de Telegram no está habilitado por defecto. Se habilita solo cuando &#39;channels.telegram.webhookUrl&#39; está configurado. Este problema ha sido solucionado en la versión 2026.2.1.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno