🇰🇷 한글 설명
OpenClaw 2026.3.13 미만 버전의 fetchRemoteMedia 함수에서 정보 노출 취약점이 발견되었습니다. 미디어 다운로드 실패 시 에러 메시지에 텔레그램 봇 토큰이 포함된 URL이 포함되어 로그 및 에러 화면에 유출될 수 있습니다.
💡 쉬운 설명
프로그램이 파일을 가져오다 실패할 때, 실수로 중요한 비밀번호(텔레그램 봇 토큰)를 에러 메시지에 담아 보여주는 문제입니다. 이 메시지를 본 공격자는 사용자의 텔레그램 봇을 제어할 수 있게 됩니다.
🇺🇸 원문 (English)
OpenClaw before 2026.3.13 contains an information disclosure vulnerability in the fetchRemoteMedia function that exposes Telegram bot tokens in error messages. When media downloads fail, the original Telegram file URLs containing bot tokens are embedded in MediaFetchError strings and leaked to logs and error surfaces.
📍 영향받는 시스템
OpenClaw 2026.3.13 미만 모든 버전
⚔️ 공격 벡터
미디어 다운로드 실패를 유도하여 로그 파일이나 에러 출력 화면에서 텔레그램 봇 토큰 탈취
🛡️ 대응 방법
OpenClaw를 최신 버전인 2026.3.13 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 2026.3.13 미만이면 취약한 상태이며, 2026.3.13 이상이면 안전합니다.
openclaw --version 2>/dev/null | grep -E '2026\[.3\.(3[1-9]|[4-9][0-9]|[1-9][0-9]{2,})|' || echo 'Vulnerable or version unknown'