p PatchFirst

CVE-2026-28446

CVE-2026-28446 · OpenClaw < 2026.2.1 - Inbound Allowlist Policy Bypass in voice-call Extension via Empty Caller ID and Suffix Matching

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

OpenClaw versions prior to 2026.2.1 with the voice-call extension installed and enabled contain an authentication bypass vulnerability in inbound allowlist policy validation that accepts empty caller IDs and uses suffix-based matching instead of strict equality. Remote attackers can bypass inbound access controls by placing calls with missing caller IDs or numbers ending with allowlisted digits to reach the voice-call agent and execute tools.

CVSS 9.2 · Kritisch · EPSS 0,7% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • openclaw

    Softwareversionen
    • ≥ 0, < 2026.2.1: Betroffen (custom)

    Auf 2026.2.1 aktualisieren

  • openclaw npm

    Betroffene Versionsbereiche
    • SEMVER: < 2026.2.2

    Auf 2026.2.2 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →