GoPlus: Mayroong pekeng download na bug sa ClawHub, ang mga sikat na skill ay posibleng naglalaman ng malicious code

Ayon sa ChainCatcher, batay sa security alert na inilabas ng GoPlus Security, nakatuklas ang mga security researcher ng Silverfort ng seryosong kahinaan sa OpenClaw na skill repository na ClawHub. Maaaring lampasan ng mga umaatake ang lahat ng mekanismo ng proteksyon sa pamamagitan ng pagtawag sa internal function na downloads:increment at, gamit lamang ang isang curl request, mapapataas ang bilang ng downloads sa mahigit 20,000 sa loob lamang ng ilang minuto. Maaari nitong itulak ang skill na naglalaman ng malisyosong code sa unang puwesto ng search ranking, na siyang makakaakit sa mga user o AI Agent na awtomatikong mag-install nito.

Kapag nailunsad ang malisyosong skill, maaari nitong nakawin ang sensitibong datos gaya ng crypto wallet at API key. Sa kasalukuyan, naayos na ang kahinaang ito sa loob ng 24 na oras. Paalala ng GoPlus, hindi nangangahulugang ligtas ang mataas na bilang ng downloads, at iminumungkahi ang paggamit ng AgentGuard para sa security scan at proteksyon.