p PatchFirst

CVE-2026-35656

CVE-2026-35656 · OpenClaw < 2026.3.22 - XFF Loopback Spoofing Bypass in Canvas Authentication and Rate Limiter

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

OpenClaw before 2026.3.22 contains an authentication bypass vulnerability in the X-Forwarded-For header processing when trustedProxies is configured, allowing attackers to spoof loopback hops. Remote attackers can inject forged forwarding headers to bypass canvas authentication and rate-limiting protections by masquerading as loopback clients.

CVSS 6.3 · Media · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • openclaw

    Versiones
    • ≥ 0, < 2026.3.22: Afectada (semver)
    • 2026.3.22: No afectada (semver)

    Actualiza a 2026.3.22

  • openclaw npm

    Intervalos de versiones afectados
    • SEMVER: < 2026.3.22

    Actualiza a 2026.3.22

Fuentes originales

Comprueba tu servidor →