OpenClaw: Telegram Webhook Missing Guess Rate Limiting Enables Brute-Force Guessing of Weak Webhook Secret
Summary
Telegram Webhook Missing Guess Rate Limiting Enables Brute-Force Guessing of Weak Webhook Secret
Affected Packages / Versions
- Package:
openclaw - Affected versions:
<= 2026.3.24 - First patched version:
2026.3.25 - Latest published npm version at verification time:
2026.3.24
Details
Telegram webhook auth previously rejected bad secrets but did not throttle repeated guesses, allowing brute-force attempts against weak webhook secrets. Commit c2c136ae9517ddd0789d742a0fdf4c10e8c729a7 adds repeated-guess throttling before auth failure responses.
Verified vulnerable on tag v2026.3.24 and fixed on main by commit c2c136ae9517ddd0789d742a0fdf4c10e8c729a7.
Fix Commit(s)
c2c136ae9517ddd0789d742a0fdf4c10e8c729a7
Release Process Note
2026.3.25 is the next planned OpenClaw release version in package.json. This advisory is being published ahead of that npm release so the draft is no longer blocked; once 2026.3.25 is published, the structured patched-version metadata will match the released artifact.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | openclaw | <= 2026.3.24 | brak poprawki |
Odnośniki
- https://github.com/openclaw/openclaw/security/advisories/GHSA-vcx4-4qxg-mfp4
- https://nvd.nist.gov/vuln/detail/CVE-2026-35628
- https://github.com/openclaw/openclaw/commit/c2c136ae9517ddd0789d742a0fdf4c10e8c729a7
- https://github.com/openclaw/openclaw
- https://www.vulncheck.com/advisories/openclaw-brute-force-attack-via-missing-telegram-webhook-rate-limiting
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N- Słabość (CWE)
CWE-307, CWE-521- Platforma
- npm
- Paczka
openclaw- Ujawniono
- 27.03.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-vcx4-4qxg-mfp4 - CC BY 4.0
Historia podatności: openclaw
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 588
- Pierwsza → ostatnia
- 02.2026 07.2026
- Bez poprawki
- 9
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Krytyczna 20
- Wysoka 215
- Średnia 299
- Niska 54
Ujawnienia w latach
- 2026: 588
-
OpenClaw: Telegram Webhook Missing Guess Rate Limiting Enables Brute-Force Guessing of Weak Webhook Secret ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.