OpenClaw voice-call media stream validated streams after upgrade, which could allow pre-start unauthenticated sockets to increase resource pressure
Summary
@openclaw/voice-call (and the bundled copy shipped in openclaw) accepted media-stream WebSocket upgrades before stream validation. In reachable deployments, unauthenticated pre-start sockets could be held open and increase resource pressure.
Affected Packages / Versions
openclaw(npm): vulnerable<= 2026.2.21-2, patched in2026.2.22.@openclaw/voice-call(npm): vulnerable<= 2026.2.21, patched in2026.2.22.
Technical Details
Before this fix, the voice-call media-stream path upgraded sockets first and ran shouldAcceptStream() after a later start frame. This created a pre-auth window where remote clients could hold idle sockets without call/token validation.
Impact
Availability risk in deployments where the media-stream endpoint is reachable and streaming is enabled. Under sustained abuse, this could consume connection-related resources and degrade service for legitimate streams.
Remediation
The fix adds layered controls in the media-stream path:
- strict pre-start timeout (close sockets that do not send a valid
startframe quickly) - global pending-connection cap
- per-IP pending-connection cap
- total open media-stream connection cap
- safer upgrade-path parsing in the webhook server
Fix Commit(s)
1d8968c8a821ff1a05c294a1846b3bcb6f343794
Release Process Note
patched_versions is pre-set to 2026.2.22 so this advisory is ready to publish once npm openclaw@2026.2.22 and @openclaw/voice-call@2026.2.22 are released.
OpenClaw thanks @jiseoung for reporting.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | openclaw | < 2026.2.22 | 2026.2.22 |
| Paczka npm | @openclaw/voice-call | < 2026.2.22 | 2026.2.22 |
Odnośniki
- https://github.com/openclaw/openclaw/security/advisories/GHSA-mfg5-7q5g-f37j
- https://nvd.nist.gov/vuln/detail/CVE-2026-32062
- https://github.com/openclaw/openclaw/commit/1d8968c8a821ff1a05c294a1846b3bcb6f343794
- https://github.com/openclaw/openclaw
- https://www.vulncheck.com/advisories/openclaw-unauthenticated-websocket-resource-exhaustion-via-media-stream
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-400, CWE-770- Platforma
- npm
- Paczka
openclaw, @openclaw/voice-call- Ujawniono
- 02.03.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-mfg5-7q5g-f37j - CC BY 4.0
Historia podatności: @openclaw/voice-call
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 02.2026 03.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
Ujawnienia w latach
- 2026: 2
-
OpenClaw voice-call media stream validated streams after upgrade, which could allow pre-start unauthenticated sockets to increase resource pressure ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.