CVE-2026-45005

6.0 Moyenne

Publiée le 11/05/2026 à 20:16 · Modifiée le 17/06/2026 à 12:51 · Analysée par le NVD · Source : disclosure@vulncheck.com

Description

OpenClaw before 2026.4.23 caches resolved webhook route secrets backed by SecretRef values, allowing stale secrets to remain valid after rotation and reload. Attackers with previously valid webhook route secrets can continue authenticating requests and invoking configured webhook task flows until gateway or plugin restart.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	5.9 Moyenne	disclosure@vulncheck.com	`CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	6.0 Moyenne	disclosure@vulncheck.com	`CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:L`

Faiblesses (CWE)

CWE-672

Références

https://github.com/openclaw/openclaw/commit/36c4a372a0ad5dca8bfc0d93f7aab9c2f2de66fa Patch
https://github.com/openclaw/openclaw/security/advisories/GHSA-q8ff-7ffm-m3r9 Third Party Advisory
https://www.vulncheck.com/advisories/openclaw-webhook-route-secret-cache-not-invalidated-after-rotation PatchThird Party Advisory

CVE-2026-45005

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs