🇰🇷 한글 설명
OpenClaw 2026.1.30 및 이전 버전의 MS Teams 첨부 파일 다운로더에서 정보 노출 취약점이 발견되었습니다. 401 또는 403 응답을 받은 후 다운로드를 재시도할 때, 허용된 접미사 도메인과 일치하는 신뢰할 수 없는 호스트로 인증용 Bearer 토큰이 전송되어 토큰 탈취가 가능합니다.
💡 쉬운 설명
프로그램이 파일을 다시 다운로드하려고 시도할 때, 실수로 중요한 로그인 열쇠(토큰)를 나쁜 사이트에 보내버릴 수 있는 문제입니다. 이를 통해 해커가 사용자의 권한을 훔쳐낼 위험이 있습니다.
🇺🇸 원문 (English)
OpenClaw versions 2026.1.30 and earlier, contain an information disclosure vulnerability, patched in 2026.2.1, in the MS Teams attachment downloader (optional extension must be enabled) that leaks bearer tokens to allowlisted suffix domains. When retrying downloads after receiving 401 or 403 responses, the application sends Authorization bearer tokens to untrusted hosts matching the permissive suffix-based allowlist, enabling token theft.
📍 영향받는 시스템
OpenClaw versions 2026.1.30 and earlier
⚔️ 공격 벡터
허용된 도메인 접미사를 악용한 신뢰할 수 없는 호스트로의 인증 토큰 유출
🛡️ 대응 방법
OpenClaw 버전을 2026.2.1 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.2.1 미만인 경우 해당 취약점에 노출된 상태입니다.
openclaw --version 2>/dev/null | grep -E '2026\.[0-1]\.[0-9]'