GoPlus: У ClawHub виявлено вразливість до підробки кількості завантажень, популярні навички можуть містити шкідливий код

За повідомленням ChainCatcher, згідно з опублікованим GoPlus Security попередженням про безпеку, фахівці з безпеки Silverfort виявили серйозну вразливість у сховищі навичок OpenClaw – ClawHub. Зловмисник може, викликавши внутрішню функцію downloads:increment, обійти всі захисні механізми, і за допомогою одного запиту curl збільшити кількість завантажень до понад 20 тисяч за кілька хвилин. Це дозволяє просунути навичку з шкідливим кодом на перше місце в пошуку, спровокувавши користувачів або AI Agent на автоматичну інсталяцію.

Після запуску такої шкідливої навички можливе викрадення криптогаманців, API-ключів та інших чутливих даних. Наразі цю вразливість вже виправлено протягом 24 годин. GoPlus наголошує, що велика кількість завантажень не є гарантією безпеки та радить використовувати AgentGuard для сканування та захисту.