OpenClaw before 2026.4.2 reuses the PKCE verifier as the OAuth state parameter in the Gemini OAuth flow, exposing it through the redirect URL. Attackers who capture the redirect URL can obtain both the authorization code and PKCE verifier, defeating PKCE protection and enabling token redemption.
OpenClaw before version 2026.4.2 reuses the PKCE verifier as the OAuth state parameter, exposing it in redirect URLs and allowing attackers to capture both authorization codes and PKCE verifiers. This vulnerability defeats PKCE protection mechanisms and enables unauthorized token redemption attacks.
يحتوي OpenClaw على خلل في تطبيق OAuth حيث يتم إعادة استخدام معرّف PKCE كمعامل حالة، مما يعرضه في عناوين URL المرئية. يمكن للمهاجمين الذين يلتقطون عنوان URL للإعادة التوجيه الحصول على رموز التفويض ومعرّفات PKCE معاً، مما يسمح بالتحايل على حماية PKCE واسترجاع الرموز غير المصرح به.
إصدارات OpenClaw السابقة للإصدار 2026.4.2 تعيد استخدام معرّف PKCE كمعامل حالة OAuth، مما يعرضه في عناوين URL للإعادة التوجيه ويسمح للمهاجمين بالتقاط رموز التفويض ومعرّفات PKCE. يهزم هذا الضعف آليات حماية PKCE ويمكّن هجمات استرجاع الرموز غير المصرح بها.
Upgrade OpenClaw to version 2026.4.2 or later immediately. Implement separate, cryptographically random values for PKCE verifiers and OAuth state parameters. Conduct security audit of OAuth implementations and review redirect URL handling. Monitor for suspicious authorization attempts and implement additional token validation checks.
قم بترقية OpenClaw إلى الإصدار 2026.4.2 أو أحدث فوراً. استخدم قيماً عشوائية منفصلة وآمنة تشفيرياً لمعرّفات PKCE ومعاملات حالة OAuth. أجرِ تدقيقاً أمنياً لتطبيقات OAuth وراجع معالجة عناوين URL للإعادة التوجيه. راقب محاولات التفويض المريبة وطبّق فحوصات التحقق من الرموز الإضافية.