PT-2026-23549 · Openclaw+1 · @Openclaw/Nextcloud-Talk+1

Megamansec · Publicado 2026-01-20 · Atualizado 2026-05-11 · CVE-2026-28474

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do plugin OpenClaw Nextcloud Talk anteriores a 2026.2.6

Descrição O plugin Nextcloud Talk permite que atacantes contornem as listas de permissão de mensagens diretas (DM) e salas. O plugin utiliza incorretamente o campo mutável actor.name para validação da lista de permissão. Um atacante pode alterar seu nome de exibição no Nextcloud para corresponder ao ID de um usuário na lista de permissão e obter acesso não autorizado a conversas restritas. O campo vulnerável é actor.name, que faz parte do payload do webhook.

Recomendações Atualize @openclaw/nextcloud-talk para a versão 2026.2.6 ou posterior.

Correção

Authentication Bypass by Spoofing

Incorrect Authorization

Enumeração de Fraquezas

CWE-290

CWE-863

Identificadores relacionados

BDU:2026-06171

CVE-2026-28474

GHSA-R5H9-VJQC-HQ3R

Produtos afetados

@Openclaw/Nextcloud-Talk

Nextcloud Talk

Referências · 18

• https://github.com/openclaw/openclaw · Nota
• https://github.com/openclaw/openclaw/security/advisories/GHSA-r5h9-vjqc-hq3r · Aviso do Fabricante
• https://github.com/openclaw/openclaw/commit/6b4b6049b47c3329a7014509594647826669892d · Correção
• https://github.com/openclaw/openclaw/commit/660f87278c9f292061e097441e0b10c20d62b31b · Nota
• https://github.com/openclaw/openclaw/releases/tag/v2026.2.3 · Nota
• https://t.me/CVEtracker/46493 · Publicação no Telegram
• https://vulncheck.com/advisories/openclaw-nextcloud-talk-allowlist-bypass-via-actorname-display-name-spoofing · Nota
• https://twitter.com/CveFindCom/status/2029689254549283009 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-28474 · Aviso do Fabricante
• https://twitter.com/TheHackerWire/status/2029906835885674585 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2030385173586497863 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-06171 · Nota de Segurança
• https://twitter.com/lyrie_ai/status/2053740826325361130 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-r5h9-vjqc-hq3r · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-28474 · Nota de Segurança