FICHE CVE

CVE-2026-41395

Publiée le 2026-04-28 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les serveurs OpenClaw utilisant Plivo V3 pour les appels vocaux sont sensibles à une faille dans la manière dont les signatures des webhooks sont vérifiées. En capturant une requête signée légitime et en réorganisant les paramètres de l'URL, un attaquant peut contourner les protections contre le rejeu pour déclencher un traitement multiple d'appels vocaux. Cette opération peut être exécutée via le réseau sans authentification ni interaction de l'utilisateur, à condition que l'attaquant ait intercepté un webhook valide.

CVSS 4.08.2 ÉLEVÉE

Type de faiblesse

CWE-325

Publiée2026-04-28

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

OpenClaw before 2026.3.28 contains a webhook replay vulnerability in Plivo V3 signature verification that canonicalizes query ordering for signatures but hashes raw URLs for replay detection. Attackers can reorder query parameters to bypass replay cache detection and trigger duplicate voice-call processing with a captured valid signed webhook.