GoPlus: у ClawHub обнаружена уязвимость подделки количества загрузок, популярные функции могут содержать вредоносный код

По сообщению ChainCatcher, согласно предупреждению о безопасности от GoPlus Security, эксперты по безопасности Silverfort обнаружили серьезную уязвимость в репозитории навыков OpenClaw — ClawHub. Злоумышленник мог, вызвав внутреннюю функцию downloads:increment, обойти все механизмы защиты и, используя всего один curl-запрос, накрутить количество загрузок до более чем 20 тысяч за несколько минут. Это позволяло вывести скилл с вредоносным кодом на первое место в поисковой выдаче и побуждать пользователей или AI Agent к автоматической установке.

Если вредоносный навык запускался, он мог похитить криптокошельки, API-ключи и другие конфиденциальные данные. В настоящее время уязвимость была устранена в течение 24 часов. GoPlus напоминает пользователям, что высокий показатель загрузок не гарантирует безопасность, и рекомендует использовать AgentGuard для сканирования и защиты.