🇰🇷 한글 설명
@openclaw/slack npm 패키지 2026.8.1 이전 버전에서 Slack 파일 다운로드 핸들러의 권한 부여 결함이 발견되었습니다. 파일에 공유 메타데이터가 없는 경우 권한 확인 절차가 실패를 허용(fail open)하여, 특정 대화방에만 제한된 사용자가 파일 식별자만 알면 다른 대화방의 파일을 다운로드할 수 있습니다. 이 문제는 2026.8.1 버전에서 수정되었습니다.
💡 쉬운 설명
특정 채팅방에만 접근 권한이 있는 사용자가 파일 번호만 알면 다른 채팅방의 파일을 몰래 가져올 수 있는 보안 약점입니다. 파일이 원래 어디에 속해 있는지 확인하는 과정에서 오류가 발생할 때 보안 검사를 건너뛰기 때문에 발생합니다.
🇺🇸 원문 (English)
The @openclaw/slack npm package before 2026.8.1 contains an authorization flaw in its Slack download-file handler: when a file lacks the share metadata used to prove it belongs to the requested conversation, the conversation-authorization check fails open. An authenticated caller restricted to a single conversation who knows or obtains a file identifier can therefore download file contents from outside that conversation's scope, disclosing data across configured conversation boundaries. The issue does not allow listing arbitrary Slack files and does not bypass Slack authentication itself. The issue is fixed in version 2026.8.1.
📍 영향받는 시스템
@openclaw/slack npm package versions prior to 2026.8.1
⚔️ 공격 벡터
인증된 사용자가 외부 대화방의 파일 식별자를 입수하여 다운로드 요청을 보내는 방식
🛡️ 대응 방법
@openclaw/slack 패키지를 2026.8.1 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.8.1 미만이면 취약한 상태이며, 2026.8.1 이상이면 안전합니다.