در نسخه‌های OpenClaw پیش از 2026.7.1، یک آسیب‌پذیری از نوع دور زدن احراز هویت (Authorization Bypass) در دستور مربوط به خروجی تشخیص‌ها (Diagnostics Export) شناسایی شده است.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی به کاربرانی که تنها دسترسی ارسال در کانال (Channel Senders) دارند و مالک (Owner) نیستند، اجازه می‌دهد تا به بسته‌های تشخیصی میزبان (Host Diagnostic Bundles) دسترسی پیدا کنند. در حالت عادی، این اطلاعات باید تنها برای مالکان سیستم قابل دسترس باشد.
تاثیرات احتمالی
عوامل تهدید می‌توانند با بهره‌برداری از این نقص، درخواست‌های مربوط به جزئیات تشخیصی میزبان را ارسال کرده و اطلاعات حساس زیر را دریافت کنند:
- جزئیات پیکربندی (Configuration) سیستم
- اطلاعات زمان اجرا (Runtime)
- لیست سرویس‌های متصل (Connected Services)
دسترسی به این داده‌ها می‌تواند منجر به افشای اطلاعات حساس زیرساختی شود که در نهایت مسیر حملات پیچیده‌تر را برای مهاجم هموار می‌کند.
