OpenClaw iOS CVE-2026-100551: HTTPS działa, ale pinning nie chroni Control UI

CVE-2026-100551 dotyczy egzekwowania zapisanych TLS pins w WebView Control UI aplikacji OpenClaw for iOS. Systemowe HTTPS może działać poprawnie, a mimo to dodatkowa oczekiwana polityka pinning nie jest wymuszana. Różnica jest subtelna, ale istotna: HTTPS present to nie to samo, co expected trust policy enforced.

CVE-2026-100551 (OpenClaw for iOS): zapisane TLS pins nie są egzekwowane w WebView Control UI — HTTPS działa, ale spoofed endpoint z ważnym systemowym certyfikatem zostaje zaakceptowany.

Fix: OpenClaw for iOS 2026.8.11. Jeśli realny MITM był możliwy, aktualizacja klienta nie unieważnia wcześniej przechwyconych credentiali.

Attack path

MITM / traffic redirection -> spoofed endpoint accepted by affected WebView -> operator credential/token exposure -> Gateway access

Remediation

Rekord wskazuje poprawkę w OpenClaw for iOS 2026.8.11. Ważne: jeżeli realny MITM był możliwy w oknie podatności, sama aktualizacja klienta nie unieważnia credentiali przechwyconych wcześniej — to remediacja podatności, nie incydentu.

Verification

Potwierdź wersję aplikacji i wykonaj negatywny test: certyfikat, który przechodzi system trust, ale nie pasuje do pina, musi zostać odrzucony. Przy realnej ekspozycji rozważ rotację tokenów i analizę logów Gateway.

Powiązane na blogu

OpenClaw: case mismatch w cron — kolejny finding w tym samym stosie
DBHub MCP: localhost to nie granica — placement sieciowy ≠ tożsamość

Źródło

OpenClaw Security Advisory GHSA-jjpc-p3xf-8g7p — github.com

Nota redakcyjna: stan informacji 27 września 2026. CVE-2026-100551 (OpenClaw for iOS, TLS pinning w Control UI). Fix 2026.8.11; aktualizacja nie unieważnia credentiali przechwyconych w oknie podatności.