OpenClaw before 2026.3.22 contains an information disclosure vulnerability that allows attackers with operator.read scope to expose credentials embedded in channel baseUrl and httpUrl fields. Attackers can access gateway snapshots via config.get and channels.status endpoints to retrieve sensitive authentication information from URL userinfo components.
OpenClaw versions before 2026.3.22 contain an information disclosure vulnerability allowing attackers with operator.read scope to extract embedded credentials from channel configuration URLs. Sensitive authentication information can be accessed through gateway snapshots via config.get and channels.status endpoints.
تؤثر هذه الثغرة على OpenClaw قبل الإصدار 2026.3.22 وتسمح للمهاجمين الذين لديهم صلاحيات operator.read بالوصول إلى بيانات الاعتماد المدمجة في حقول baseUrl و httpUrl للقنوات. يمكن استخراج معلومات المصادقة الحساسة من خلال الوصول إلى لقطات البوابة عبر نقاط نهاية API المختلفة.
إصدارات OpenClaw السابقة للإصدار 2026.3.22 تحتوي على ثغرة كشف المعلومات التي تسمح للمهاجمين بصلاحية operator.read باستخراج بيانات اعتماد مدمجة من عناوين URL لقنوات التكوين. يمكن الوصول إلى معلومات المصادقة الحساسة من خلال لقطات البوابة عبر نقاط نهاية config.get و channels.status.
Upgrade OpenClaw to version 2026.3.22 or later immediately. Implement principle of least privilege by restricting operator.read scope assignments. Audit all users with operator.read permissions and review gateway snapshots for exposed credentials. Remove embedded credentials from channel baseUrl and httpUrl fields, using secure credential management systems instead. Implement network segmentation to limit access to config.get and channels.status endpoints.
قم بترقية OpenClaw إلى الإصدار 2026.3.22 أو أحدث فوراً. طبق مبدأ أقل صلاحية بتقييد تعيينات صلاحية operator.read. قم بتدقيق جميع المستخدمين الذين لديهم صلاحيات operator.read وراجع لقطات البوابة للتحقق من بيانات الاعتماد المكشوفة. أزل بيانات الاعتماد المدمجة من حقول baseUrl و httpUrl للقنوات، واستخدم أنظمة إدارة بيانات الاعتماد الآمنة بدلاً منها. طبق تقسيم الشبكة لتحديد الوصول إلى نقاط نهاية config.get و channels.status.