GoPlus: Bei ClawHub besteht eine Schwachstelle zur Manipulation der Downloadzahlen, beliebte Skills könnten bösartigen Code enthalten

Laut ChainCatcher, basierend auf einer Sicherheitswarnung von GoPlus Security, haben Silverfort-Sicherheitsforscher eine schwerwiegende Schwachstelle im Skill-Repository ClawHub von OpenClaw entdeckt. Angreifer können durch Aufruf der internen Funktion downloads:increment alle Schutzmechanismen umgehen und mit nur einer curl-Anfrage die Downloadzahl innerhalb weniger Minuten auf über 20.000 steigern. Dadurch können Skills mit schädlichem Code auf den ersten Platz der Suchergebnisse gebracht werden, was Nutzer oder AI Agents zur automatischen Installation verleiten kann.

Sobald eine bösartige Skill ausgeführt wird, können vertrauliche Daten wie Krypto-Wallets und API-Schlüssel gestohlen werden. Die Schwachstelle wurde mittlerweile innerhalb von 24 Stunden behoben. GoPlus weist darauf hin, dass eine hohe Downloadzahl nicht gleichbedeutend mit Sicherheit ist, und empfiehlt, AgentGuard für Sicherheitsüberprüfungen und Schutzmaßnahmen zu verwenden.